Connect with us

Datenschutz & Sicherheit

Ein Jahr nach dem Onlinezugangsgesetz 2.0


Das Onlinezugangsgesetz 2.0 sollte frischen Wind in die Digitalisierung der öffentlichen Verwaltung bringen. Doch ein Jahr nach Inkrafttreten hat sich mit dem Gesetz für die Bürger*innen, Unternehmen und auch die Mitarbeiter*innen in der Verwaltung kaum etwas verändert. Noch immer bestehen die altbekannten Probleme: Manche Online-Dienste funktionieren an einem Ort, aber am anderen nicht. Anträge müssen teils online, teils per Post eingereicht werden. Mitarbeiter*innen in Ämtern drucken online eingereichte Anträge aus und heften sie ab.

Gründe für die Kluft zwischen analog und digital gibt es viele: inkompatible Online-Dienste, unterschiedliche Standards, unterschiedliche Schnittstellen, unterschiedliches Landesrecht.

Mit Karsten Wildberger (CDU) gibt es nun erstmals einen Bundesdigitalminister. In seinem Ministerium für Digitales und Staatsmodernisierung (BMDS) will er 150 neue Stellen einrichten. Der Digitalisierung will er einen Schub geben, von viel KI und wenig Bürokratie ist im Koalitionsvertrag zu lesen. Sein Plan: Bürger*innen sollen künftig auf Verwaltungsleistungen über eine App per Cloud zugreifen können.

Dazu will Wildberger zwei Test-Bundesländer aussuchen und prüfen, „welche Bürgerleistungen in bestimmten Kommunen gut funktionieren und was es braucht, um die flächendeckend auszurollen“. Die Länder sollen dann schnell viele Bürgerleistungen entwickeln. Gleichzeitig will er die besten digitalen Lösungen der Länder zusammentragen, die der Bund nach Absprache mit den Ländern zentral bereitstellen können soll.

Welche Probleme zuerst?

Dass ein neues Ministerium für die Digitalisierung unter anderem der öffentlichen Verwaltung geschaffen wurde, zeige, dass das Thema politisch aufgewertet wurde, sagt Malte Spitz vom Nationalen Normenkontrollrat (NKR). „Man sollte dem Ministerium nun etwas Zeit geben, sich aufzustellen.“

Doch die neue Regierung muss einen ganzen Berg an verschleppten Problemen mitziehen. Das OZG 2.0 mitsamt E-Government-Gesetz (EGovG), das zeitgleich erneuert wurde, habe in diesem ersten Jahr seit Bestehen jedenfalls kaum Wirkung gezeigt, sagt Spitz. Zwar gebe es einzelne Erfolge wie die elektronische Wohnsitzanmeldung in Berlin. Doch die seien lokal und regional begrenzt und gingen nicht in die Breite.

Warum aber hat das OZG 2.0 kaum Wirkung gezeigt? Dafür gibt es zwei wesentliche Gründe. Zum einen ist das Gesetz ein Kompromiss mit den Ländern. Die OZG-Reform hätte beispielsweise dafür sorgen können, dass der Bund einheitliche Standards zumindest für die Dienstleistungen des Bundes festlegen kann. Die Länder setzten für sich hingegen ein aktives Mitspracherecht durch.

Zum anderen gibt es im Apparat Verwaltungsdigitalisierung viele Stellschrauben, die sich dem Gesetz entziehen, etwa verschiedene Zuständigkeiten und das Verbot der Mischverwaltung. Hinzu kommt die angespannte Haushaltslage auf allen Ebenen. So können die Kommunen etwa für Lizenzen häufig ausschließlich mit Unterstützung durch das Land oder den Bund zahlen. Steht die Finanzierung, ist oftmals nicht selbstverständlich, dass kommunale Behörden einen Dienstleister finden, der die OZG-Leistung implementieren kann.

Ab auf die Insel-Lösung

Das alles zahlt auf ein Problem ein, das die Verwaltungsdigitalisierung schon seit Merkel-Zeiten begleitet: Alle Ministerien und Behörden, ob auf Bundes- oder Landesebene, entwickeln eigene IT-Lösungen für dieselben Prozesse. Sogenannte Insellösungen haben weniger mit weißem Sandstrand und Palmen zu tun als vielmehr mit dem Problem, dass die Lösungen auf allen Ebenen nicht miteinander kompatibel sind, geschweige denn interoperabel.

„Wir haben die Schritte in der falschen Reihenfolge gemacht“, so Spitz gegenüber netzpolitik.org. Bevor man Behörden und Ämter dazu auffordert, ihre Leistungen für Bürger*innen digital anzubieten, hätte „man sich zuerst um ein Architekturkonzept kümmern und den Fokus auf die Registermodernisierung setzen müssen“, erklärt Spitz.

Das hätte ein weiteres Problem der Digitalisierung adressiert: die fehlende Ende-zu-Ende-Digitalisierung. Damit ist gemeint, dass Prozesse durchgehend digitalisiert sind – vom Antrag durch Bürger*innen oder Unternehmen bis hin zur Archivierung der Akte durch Verwaltungsmitarbeiter*innen. Dass Sachbearbeiter*innen in Behörden online eingereichte Anträge ausdrucken und abheften, ist noch immer die Regel.

Als große Fortschritte bei der Verwaltungsdigitalisierung sieht Spitz unabhängig vom OZG 2.0 die Qualitätskriterien, die im Service-Standard festgelegt sind, die föderale IT-Archtitekturrichtlinie des IT-Planungsrats und die treibende Kraft der Föderalen IT-Kooperation (FITKO) als Geschäftsstelle des Rats.

Monitoring bleibt relevante Baustelle

Eine große Lücke im OZG 2.0 klafft laut Spitz beim Thema Monitoring. Zwar sollen die zuständigen Ministerien der Länder und des Bundes demnach ein Monitoring durchführen und den Erfüllungsaufwand für bestimmte Digitalisierungsmaßnahmen erheben. Doch bleibt das Gesetz hier sehr vage.

Der NKR hatte gefordert, im Gesetz konkret festzuhalten, Kriterien wie Nutzerfreundlichkeit und Umsetzungsstand zu erfassen. Auch sei „der Zugang zu den Ergebnissen über eine offene Schnittstelle“ notwendig. Das zuständige Bundesministerium hätte nach dem NKR-Vorschlag zudem vierteljährlich selbst zum Umsetzungsstand berichten sollen.

Es sei nahezu unmöglich, an konkrete Zahlen zu kommen, sagt Spitz gegenüber netzpolitik.org. Die seien aber erforderlich, um feststellen zu können, wo die Stärken und Schwächen der Digitalisierungsprojekte liegen und wo nachgebessert werden muss. Das OZG-Dashboard könne das nicht leisten. „Nur weil eine Leistung einen grünen Haken hat, heißt das nicht, dass sie eingesetzt oder gar von vielen Menschen genutzt wird. Vielleicht wird die Leistung in zwanzig Städten angeboten, aber nur von einem Prozent der Antragstellenden genutzt.“ Zudem enthält es keine Information zur Nutzbarkeit der Leistung.

Spitz hofft auf ein Umdenken hin zu mehr Transparenz und Nachvollziehbarkeit: „Möglicherweise ist das neue Digitalministerium dafür ein Impuls.“

Immerhin hat der Appell der Ampel-Koalition (PDF) an den IT-Planungsrat Wirkung gezeigt. Während der bisher kaum Dokumente zu internen Abstimmungsprozessen veröffentlichte, stehen seit Kurzem Sitzungsprotokolle, Beschlüsse und Prüfkommentare auch aus letzten Jahren online.

Geld ist knapp

Ihre IT-Entwicklungen nach einem einheitlichen Architekturkonzept ausrichten – damit hätten Behörden von Anfang an ihre Ressourcen bündeln können. Das hätte Zeit gespart und Geld. Und gerade letzteres wird knapp. Die Hilfen aus dem Corona-Konjunkturpaket sind ausgeschöpft und die Folgefinanzierung ist unklar.

In den Jahren 2024 und 2025 gibt es nur eine vorläufige Haushaltsführung. Die verglich Christian Görke (die Linke) gar mit einer Haushaltssperre. Nur gesetzliche Leistungen würden finanziert und „neue, dringend benötigte zusätzliche Investitionen“ könnten nicht ausgelöst werden. Das sei vor allem schwierig für die Digitalisierung der Verwaltung, wo man Verträge abschließt, Kosten längerfristig aufwendet und erst im September realistisch einschätzen kann, was genau die Zahlen für das Jahr 2025 sind, sagt Spitz.

Gerade diese Haushaltsordnung fordere heraus, dass Behörden ihre Digitalisierungsprojekte nicht in Zielen oder Meilensteinen, sondern in Jahren planen. Über wie viel Geld Wildberger und sein Ministerium verfügen werden, steht noch nicht genau fest. In den aktuellen Haushaltsverhandlungen gibt es für das BMDS keinen zusammenhängenden Einzelplan. Stattdessen ist bei Posten anderer Ministerien über viele Einzelpläne hinweg vermerkt, dass diese vom BMDS bewirtschaftet würden.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Kriminalität mit KI: Liebes-Chats und Homeoffice-Betrug


Online-Kriminelle haben mit Künstlicher Intelligenz eine mächtige neue Waffe bekommen. So wurde der KI-Chatbot Claude der Entwicklerfirma Anthropic bereits verwendet, um in Netzwerke einzudringen, Daten zu erbeuten und sie auszuwerten. Zudem hätten die Angreifer die Software benutzt, um „psychologisch zielgerichtete“ Erpressungsnachrichten an die Opfer zu schreiben, berichtete Anthropic. Der Angreifer habe damit gedroht, gestohlene Informationen zu veröffentlichen, und zum Teil mehr als 500.000 Dollar von den Betroffenen verlangt.

Cyberangriff im Alleingang dank KI

Ziel der automatisierten Attacke seien allein im vergangenen Monat 17 Unternehmen und Organisationen aus Bereichen wie Gesundheitswesen, Regierung und Religion geworden, hieß es. Claude habe dabei zum Beispiel nach Schwachstellen gesucht sowie bei der Entscheidung geholfen, wie ein Netzwerk am besten angegriffen werden kann und welche Daten entwendet werden sollten.

Üblicherweise hätte man für eine solche Aktion ein Team aus Experten gebraucht, sagte der zuständige Anthropic-Manager Jacob Klein dem Tech-Blog „The Verge“. Nun könne das eine Person mit Hilfe Künstlicher Intelligenz bewerkstelligen. Neuere KI-Systeme können auch als „Agenten“ im Auftrag von Nutzern agieren und weitgehend eigenständig Aufgaben für die erledigen.

Nordkoreaner machten Homeoffice für US-Firmen

Anthropic listete in einem ausführlichen Papier auch weitere Fälle auf, in denen Claude für Online-Kriminalität missbraucht wurde. So sei der Chatbot zum Einsatz gekommen, als sich Nordkoreaner Homeoffice-Jobs als Programmierer in US-Unternehmen erschlichen, um Geld für die Regierung reinzuholen. Sie hätten sich dabei auf die KI-Software verlassen, um mit ihren Arbeitgebern zu kommunizieren – und auch um ihre Aufgaben zu erledigen. Dabei hätten sie augenscheinlich nicht genug Ahnung von Software-Entwicklung gehabt, um den Job ohne Hilfe von Claude auszuüben, stellte Anthropic fest. Früher habe Nordkorea dafür jahrelang Experten ausgebildet. „Aber durch KI fiel diese Einschränkung weg.“

Betrug aus dem Chatbot

Außerdem entwickelten Cyberkriminelle mit Hilfe von Claude Betrugsmaschen, die sie im Netz zum Kauf anboten. Dazu gehörte laut Anthropic ein Bot für die Plattform Telegram zum Beziehungsbetrug – wobei den Opfern etwa eine romantische Verbindung vorgegaukelt wird, um Geld von ihnen zu erbeuten. Damit könne man Chats „mit hoher emotionaler Intelligenz“ in verschiedenen Sprachen führen, hieß es.

Man habe zwar ausgeklügelte Maßnahmen gegen einen Missbrauch der KI-Software im Einsatz, betonte Anthropic. Online-Angreifer versuchten aber immer wieder, sie zu umgehen. Mit der Erfahrung aus den ausgewerteten Fällen solle der Schutz verbessert werden.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Weltweite Warnung vor Cyberangriffen Chinas auf Telekommunikationsinfrastruktur


In den letzten Jahren sind immer wieder Cyberangriffe von mutmaßlich chinesischen Akteuren auf internationale Netzwerksysteme bekannt geworden. Dabei konnten die wohl staatlich unterstützten Cyberangreifer die globale Telekommunikationsinfrastruktur infiltrieren und ausspähen. Dagegen haben sich die Sicherheitsbehörden verschiedener Länder verbündet und jetzt einen gemeinsamen und umfassenden Cybersicherheitsleitfaden veröffentlicht, der das Vorgehen der Angreifer beschreibt, Hinweise zur Entdeckung der Attacken gibt und Gegenmaßnahmen empfiehlt.

Vielen dieser Cyberangriffe gemein ist das Ausnutzen bereits bekannter, aber vom Betreiber nicht geschlossener Sicherheitslücken. Das war kürzlich auch bei einem nordamerikanischen Telekommunikationsanbieter der Fall. Cyberkriminelle nutzten eine ungepatchte Cisco-Sicherheitslücke als Einfallstor zu einem kanadischen Provider. Cisco hatte nach Bekanntwerden der Lücke eine aktualisierte Software bereitgestellt, aber der Telko-Anbieter hat diese offenbar über ein Jahr lang nicht installiert.

Sicherheitswarnung vor Salt Typhoon und anderen Cybergangs

Das ist einer der Gründe, warum sich Sicherheitsbehörden aus Australien, Kanada, Neuseeland, Großbritannien, der Tschechischen Republik, Finnland, Deutschland, Italien, Japan, den Niederlanden, Polen sowie den USA zusammengetan und eine gemeinsame Cybersicherheitsempfehlung herausgegeben haben. Aus Deutschland waren der Bundesnachrichtendienst, das Bundesamt für Verfassungsschutz und das Bundesamt für Sicherheit in der Informationstechnik (BSI) beteiligt.

Das bislang nur auf Englisch verfügbare „Joint Cybersecurity Advisory“ nennt als Hauptakteure die Gruppen „Salt Typhoon“, „OPERATOR PANDA“, „RedMike“, „UNC5807“ und „GhostEmperor“. Demnach wurden Aktivitäten dieser sogenannten APT-Akteure (Advanced Persistent Threat) in den USA, Australien, Kanada, Neuseeland und Großbritannien entdeckt, aber sie sollen auch andernorts weltweit tätig sein. Die Angreifer modifizieren vielfach Router, um ständigen und langfristigen Zugang zu den Netzwerken zu erlangen.

Das Bundesamt für Verfassungsschutz und das BSI greifen sich Salt Typhoon als Hauptakteur für den gemeinsamen Sicherheitshinweis heraus. Diese Gruppe ist demnach auch bekannt als GhostEmperor und FamousSparrow, denn die Cybergangs haben international unterschiedliche Namen. Hauptziele dieser Cyberkriminellen liegen bei der Telekommunikationsinfrastruktur. Sind die Angreifer in die Netzwerke eingedrungen, erlaubt es etwa den mit den Hackern verbundenen chinesischen Geheimdiensten, die Kommunikation einzelner Zielpersonen sowie deren Standorte zu überwachen.

Professionelle Cybergangs nicht nur gegen Telko-Anbieter

Die Sicherheitsforscher von Googles „Threat Intelligence Group“ betonen die außerordentliche „Vertrautheit dieses Akteurs mit Telekommunikationssystemen“, was es Salt Typhoon erleichtert, nach einem erfolgreichen Einbruch in die Netzwerke nicht entdeckt zu werden. „Viele der besonders erfolgreichen chinesischen Cyber-Spionageakteure, denen wir begegnen, verfügen über tiefgehendes Fachwissen in den Technologien“, erklärt John Hultquist, Chefanalyst der Google Threat Intelligence Group.

Lesen Sie auch

Hultquist hebt zudem die geschäftsmäßige Organisation dieser Cybergang hervor. „Ein Ökosystem aus Auftragnehmern, Akademikern und anderen Unterstützern bildet das Herzstück der chinesischen Cyber-Spionage“, führt er fort. „Auftragnehmer werden eingesetzt, um Werkzeuge und wertvolle Exploits zu entwickeln sowie die schmutzige Arbeit von Eindringungsoperationen durchzuführen. Sie waren entscheidend für die schnelle Weiterentwicklung dieser Operationen und ihre Ausweitung auf ein beispielloses Ausmaß.“

Neben der Telekommunikationsinfrastruktur haben die Angreifer mit Verbindung zur chinesischen Regierung aber auch andere Branchen im Visier. Denn auch der „Gastgewerbe- und Transportsektor könnte dazu genutzt werden, Einzelpersonen engmaschig zu überwachen“, so Hultquist weiter. „Informationen aus diesen Branchen können verwendet werden, um ein vollständiges Bild davon zu erstellen, mit wem jemand spricht, wo er sich aufhält und wohin er unterwegs ist.“


(fds)



Source link

Weiterlesen

Datenschutz & Sicherheit

Ameos Kliniken: Nach IT-Angriff steht Auskunftsformular für Datenschutz bereit


Nach einer IT-Attacke auf den Klinikkonzern Ameos im Juli hat der Verbund nun ein Auskunftsformular veröffentlicht, auf der Patienten Auskunftsersuchen stellen können. „Ob im Einzelfall personenbezogene Daten betroffen sind, muss jeweils aufwendig und individuell geprüft werden. Daher können wir keine verlässliche Aussage dazu machen, wie viele Personen tatsächlich betroffen sind“, sagte ein Sprecher gegenüber heise online.

Nach Ausfüllen des auf der Informationswebpage verlinkten Auskunftsformulars werde individuell geprüft, welche Daten in welchem Zeitraum betroffen waren. Dazu müssen sich Patienten identifizieren und eine Kopie ihres Ausweisdokuments hochladen.

„Betroffen sind die deutschen und österreichischen Einrichtungen der Ameos Gruppe“, fügte der Sprecher hinzu. Möglich sei auch, dass keine personenbezogenen Daten betroffen sind, meinte eine Sprecherin gegenüber der dpa. Gemeinsam mit den zuständigen Behörden und externen Dienstleistern arbeite Ameos an der Aufklärung des Angriffs.

Strafanzeige erstattet

Die Ameos Gruppe arbeitet laut dpa eng mit internen und externen forensischen Expertinnen und Experten, den Datenschutzbehörden der Bundesländer sowie dem Landeskriminalamt Sachsen-Anhalt zusammen. Dort sei zentral Strafanzeige erstattet worden. Die Versorgung der Patientinnen und Patienten sei jederzeit gesichert gewesen.

Der Angriff auf die IT-Systeme des Gesundheitskonzerns führte zu erheblichen Störungen in den deutschen Einrichtungen. In den Kliniken werden nach Angaben Ameos‘ mehr als 500.000 Patienten jährlich betreut. Zum Klinikverbund gehören mehr als 100 Einrichtungen an über 50 Standorten, darunter zahlreiche Spitäler für psychische Gesundheit. Ameos ist neben Helios und Sana einer der größeren privaten Klinikbetreiber im deutschsprachigen Raum.


(mack)



Source link

Weiterlesen

Beliebt