Teil 3 der dreiteiligen Serie „Die Akte der Anderen – Lehren aus dem GUTcert-Vorfall”
Wer prüft die Prüfer? Diese Frage stelle ich nicht zum ersten Mal. Der Cyberangriff auf die Zertifizierungsgesellschaft GUTcert gibt ihr eine neue, sehr praktische Wendung. Es geht nicht um die Qualität von Prüfurteilen, sondern um etwas Grundlegenderes: Wie schützen wir, die Prüfer, die Informationen, die uns anvertraut werden?
In Teil 1 habe ich beschrieben, warum Zertifizierungsstellen zu Aggregationspunkten für die sensibelsten Informationen kritischer Infrastrukturen werden. In Teil 2 ging es um das, was Unternehmen tun können. Dieser Teil richtet sich an die eigene Zunft. Ich schreibe ihn als Lead Auditor, also nicht von außen, sondern als jemand, der sich selbst an denselben Maßstäben messen lassen muss.
Eintrag 1: Wir sind Teil der Lieferkette
Wir fordern von unseren Kunden ein wirksames Lieferantenmanagement. Wir fragen, wie sie ihre Dienstleister auswählen, vertraglich binden und überwachen. Aus Sicht unserer Kunden sind wir selbst genau so ein Dienstleister – einer mit ungewöhnlich tiefem Einblick.
Das sollten wir nicht als Zumutung verstehen, wenn Kunden uns danach fragen. Eine Kundin, die wissen will, wie wir ihre Nachweise speichern, stellt unsere Unparteilichkeit nicht in Frage. Sie tut das, was wir im Audit von ihr erwarten würden.
Eintrag 2: Aufzeichnungen statt Kopien
ISO/IEC 17021-1 verlangt nachvollziehbare Aufzeichnungen über Audit und Zertifizierung. Sie verlangt nicht, dass wir jeden eingesehenen Nachweis kopieren und archivieren. In der Praxis hat sich trotzdem vielerorts eingebürgert, möglichst viel in die Akte zu nehmen: aus Absicherungsdenken, aus Bequemlichkeit, oder weil die Plattform es einfach macht.
Ein Befund lässt sich ebenso gut durch eine präzise Referenz belegen: Dokument, Version, Stand, gegebenenfalls ein Hashwert, dazu die eigene Feststellung und die Begründung. Das ist im Zweifel sogar die bessere Aufzeichnung, weil sie zeigt, was der Auditor tatsächlich geprüft und wie er es bewertet hat. Eine Sammlung von Anhängen zeigt das nicht.
Wo Programmvorgaben mehr verlangen, sollten wir das offen sagen und die Menge auf das Nötige begrenzen. Überall sonst gilt: Was wir nicht haben, kann uns nicht gestohlen werden.
Eintrag 3: Die Kette ist so stark wie der Laptop des Freiberuflers
Viele Zertifizierungsstellen arbeiten mit freiberuflichen Auditoren. Das ist fachlich sinnvoll und wirtschaftlich oft notwendig. Es bedeutet aber auch, dass Kundennachweise auf Geräten und in Postfächern landen, die außerhalb des Managementsystems der Stelle liegen.
Was es braucht, sind verbindliche und überprüfbare Mindestanforderungen: verschlüsselte Endgeräte, keine dauerhafte lokale Speicherung von Kundennachweisen, keine Weiterleitung an private Postfächer, Mehr-Faktor-Authentisierung für alle Zugänge, definierte Löschung nach Abschluss eines Audits. Und es braucht Stellen, die das nicht nur in einer Selbsterklärung abfragen, sondern stichprobenartig prüfen.
Umgekehrt gilt für uns Freiberufler: Wer ISMS prüft, kann nicht mit einem ungeschützten Notebook und einem Mailordner „Kunden” arbeiten.
Eintrag 4: E-Mail ist kein Transportweg für Nachweise
Im GUTcert-Fall wurde noch Tage nach der Entdeckung eine aktive E-Mail-Sitzung der Angreifer gefunden. Unabhängig davon, welche Rolle E-Mail beim konkreten Angriff gespielt hat: Postfächer sind überall ein bevorzugtes Ziel, und sie sind für sensible Nachweise der denkbar schlechteste Speicherort. Sie sind schlecht strukturiert, werden selten bereinigt und sind oft über viele Geräte synchronisiert.
Die Konsequenz ist einfach, aber unbequem: Nachweise werden über die gesicherte Plattform oder per Einsichtnahme ausgetauscht, nicht per Anhang. Auch dann nicht, wenn der Kunde es so am einfachsten findet. Hier dürfen wir ruhig strenger sein als unsere Kunden.
Eintrag 5: Die Plattform schützt nur, was auf ihr bleibt
Viele Stellen haben in den letzten Jahren in sichere Austauschplattformen investiert. Im GUTcert-Fall gibt es nach bisherigem Stand keinen Hinweis auf einen Zugriff auf die Kundenplattform, wohl aber auf die interne Projektablage. Ob das im konkreten Fall der entscheidende Faktor war, wird die Forensik zeigen. Das Muster ist aber bekannt: Daten werden sicher angeliefert und anschließend für die Bearbeitung kopiert – in Projektordner, in Berichtsentwürfe, in Postfächer.
Eine Plattform ist also nur so gut wie die Prozesse, die verhindern, dass Daten sie verlassen. Wer Nachweise für die Berichtserstellung braucht, sollte auf der Plattform arbeiten oder referenzieren, nicht exportieren.
Eintrag 6: Unser eigenes ISMS muss uns umfassen
Es ist erstaunlich, wie oft Organisationen, die ISMS prüfen, selbst kein zertifiziertes ISMS betreiben, oder eines mit einem Geltungsbereich, der die Projektarbeit mit Kundendaten nicht einschließt. Das ist kein Vorwurf an einen bestimmten Marktteilnehmer, sondern eine Einladung zur Selbstprüfung.
Der Geltungsbereich sollte mindestens die Speicherung und Verarbeitung von Kundennachweisen, die Kommunikationswege und die Einbindung externer Auditoren umfassen. Und wir sollten bereit sein, unseren Kunden darüber Auskunft zu geben.
Eintrag 7: Unsere Meldekette muss zu den Pflichten unserer Kunden passen
Unsere Kunden im Anwendungsbereich von NIS-2 und BSIG müssen erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen melden. Wenn bei uns Kundendaten abfließen, beginnt für sie die Bewertung erst, wenn wir sie informieren.
Wir sollten deshalb Benachrichtigungsfristen zusagen, die zu diesen Pflichten passen, und die Information so gestalten, dass Kunden damit arbeiten können: welcher Kunde, welche Dokumentenarten, welche Zeiträume, welche Unsicherheiten. Eine erste, ehrlich als vorläufig gekennzeichnete Information nach wenigen Tagen ist für den Kunden wertvoller als eine vollständige nach zwei Wochen.
Wer jetzt gefragt ist
Einzelne Stellen und Auditoren können viel tun. Einiges lässt sich aber nur auf Ebene der Regelsetzung lösen.
Deutsche Akkreditierungsstelle (DAkkS): ISO/IEC 17021-1 regelt Vertraulichkeit sehr allgemein. Für Stellen, die im Bereich kritischer Infrastrukturen zertifizieren, wären konkrete Mindestanforderungen an Informationssicherheit, Datenminimierung und Vorfallkommunikation sinnvoll, und deren Überprüfung im Rahmen der Akkreditierung.
Bundesnetzagentur und BSI: Das Konformitätsbewertungsprogramm für die IT-Sicherheitskataloge könnte festlegen, welche Nachweise in welcher Form in die Zertifizierungsakte gehören, und ausdrücklich zulassen, dass streng vertrauliche Unterlagen nur eingesehen werden.
Branchenverbände: Eine gemeinsame Leitlinie für den Umgang mit Auditnachweisen, getragen von Betreibern und Zertifizierungsstellen, wäre schnell umsetzbar und würde beiden Seiten Argumente liefern.
Meine eigene Selbstverpflichtung
Wer Einträge in fremde Stammbücher schreibt, sollte im eigenen anfangen. Für meine Arbeit als Auditor und Berater gilt:
- Streng vertrauliche Nachweise sehe ich ein, ich lasse sie mir nicht übermitteln.
- Kundennachweise verschicke und empfange ich nicht per E-Mail-Anhang.
- Meine Endgeräte sind verschlüsselt, alle Zugänge mit Mehr-Faktor-Authentisierung geschützt.
- Arbeitsunterlagen lösche ich nach Abschluss eines Auftrags und bestätige das auf Wunsch.
- Über Sicherheitsvorfälle, die Kundendaten betreffen könnten, informiere ich betroffene Kunden innerhalb von 24 Stunden nach Kenntnis.
- Kunden können bei mir jederzeit erfragen, wie ich mit ihren Informationen umgehe.
Das ist keine Garantie gegen jeden Angriff. Es ist aber eine überprüfbare Zusage, und genau so etwas verlangen wir im Audit auch von unseren Kunden.
Fazit und Ausblick
Das Prüfmodell im Bereich kritischer Infrastrukturen beruht auf Vertrauen: Betreiber öffnen ihre sensibelsten Unterlagen, damit unabhängige Dritte deren Wirksamkeit bestätigen können. Dieses Vertrauen ist kein Selbstläufer. Wir sollten es rechtfertigen, bevor der nächste Vorfall uns dazu zwingt.
Sobald belastbare Ergebnisse zum GUTcert-Vorfall vorliegen, ergänze ich die Serie um einen vierten Teil und prüfe, welche Annahmen aus den ersten drei Beiträgen sich bestätigt haben – und welche nicht.
regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.