Schlechte Sicherheitstandards in Rechenzentren des Bundes

[Mornsgrans]

Etwas, was wohl fast jeder bisher ahnte und jetzt auch offiziell ist:

Sogar Notstrom fehlt: Schlechte Sicherheitstandards in Rechenzentren des Bundes

Ein Bericht des Bundesrechnungshofs wirft kein gutes Licht auf die Sicherheit der IT des Bundes. Nur ein Bruchteil der Rechenzentren erreiche Mindeststandards.

www.heise.de

oder ist jemand jetzt überrascht?

 

[tom_k]

sieht doch eigentlich besser aus als ich erwärtet hätte

 

[gatasa]

Etwas, was wohl fast jeder bisher ahnte und jetzt auch offiziell ist:

Sogar Notstrom fehlt: Schlechte Sicherheitstandards in Rechenzentren des Bundes

Ein Bericht des Bundesrechnungshofs wirft kein gutes Licht auf die Sicherheit der IT des Bundes. Nur ein Bruchteil der Rechenzentren erreiche Mindeststandards.

www.heise.de

oder ist jemand jetzt überrascht?

Nicht wirklich!
Nachdem ich weiß, wie es bei einigen Landesbehörden NRW aussieht, bin ich nicht überrascht. Ich bin eher überrascht, dass doch so viel läuft. Und das kontrolliert wird.
Nur sollte es dann auch besser werden. Und das bezweifel ich sehr stark.

 

[Mornsgrans]

Nachdem ich weiß, wie es bei einigen Landesbehörden NRW aussieht, bin ich nicht überrascht

Der Artikel bezieht sich auf Behörden des Bundes. Demzufolge kann es auf Länderebene und darunter ganz anders aussehen.

 

[gatasa]

Ja, hatte ich gelesen. Aber Vergleiche sind schon vorhanden.
Justiz NRW, Polizei NRW und Zoll (Bundesbehörde) arbeiten manchmal zusammen.
Mein Wissensstand ist aber bald 2 Jahre alt, vielleicht hat sich da ja was zum Besseren verändert.

 

[cuco]

Hmm ich war schon in einigen Rechenzentren des Bundes. Erstaunt bin ich, dass die Rede von ca. 100 Stück ist. Durch die IT-Konsolidierung des Bundes hatte ich da eher mit einer Größenordnung weniger gerechnet. In denen, wo ich war, sind jedenfalls auch die Anforderungen des BSI umgesetzt oder kurz davor, da sind Notstromversorgungen vorhanden und gut gepflegt, da gibt es Redundanzen (auch Georedundanz), usw.
Ich war auch schon in Rechenzentren von privatwirtschaftlichen Firmen und ich muss sagen, dass die ein deutlich schlechteres Bild abgegeben haben. Offenbar war ich nur in den <10% der RZen des Bundes, die im Artikel erwähnt werden? Die anderen über 90% müssen an mir vorbeigegangen sein ^^

 

[gatasa]

Habe mich gestern zufällig mit einem ehemaligen Kollegen unterhalten und muss jetzt noch sagen, dass sich in den letzten 2 Jahren einiges getan hat. Es wurden pro Dienststelle Personen eingestellt, die sich Vollzeit um die Netzsicherheit und die Absicherung in einem Notfall kümmern.
Notstromaggregate sind flächendeckend neu installiert worden. Georedunanz fehlt aber fast überall.
Es ist zwar bei weitem noch nicht alles Gold, was glänzt, aber es wurde was gemacht.

 

[Corvus]

Baden-Württemberg hat Kapazität von Privat gemietet im ehemaligen Regierungsbunker des Landes neben dem Wald, von dem ich Miteigentümer bin...

 

[GreenStorm]

sieht doch eigentlich besser aus als ich erwärtet hätte

"wer keine Erwartungen hat, kann nicht enttäuscht werden" oder wie war das?

Habe mich gestern zufällig mit einem ehemaligen Kollegen unterhalten und muss jetzt noch sagen, dass sich in den letzten 2 Jahren einiges getan hat. Es wurden pro Dienststelle Personen eingestellt, die sich Vollzeit um die Netzsicherheit und die Absicherung in einem Notfall kümmern.
Notstromaggregate sind flächendeckend neu installiert worden. Georedunanz fehlt aber fast überall.
Es ist zwar bei weitem noch nicht alles Gold, was glänzt, aber es wurde was gemacht.

Aber immerhin geht es in die richtige Richtung. Das ist doch schonmal gut.

 

[Mornsgrans]

Heise hat heute noch einmal nachgelegt:

Kommentar: 77 Verantwortliche – aber kein Sprit für den Notstromdiesel

Klare Ansage vom Bundesrechnungshof: Viel zu viele Institutionen sind in die deutsche IT-Sicherheit involviert. Die RZ-Sicherheit bleibt trotzdem desolat.

www.heise.de

Du bist in Deutschland,...

Denn ganze 77 Einrichtungen zählt der Bundesrechnungshof mittlerweile auf Bundesebene, die bei der IT-Sicherheit mitreden. Die verfügen aber weder über eine gemeinsame Datenbasis, noch kommunizieren sie überhaupt groß miteinander.

aber die Regierung kann behaupten, dass sie etwas für die IT-Sicherheit unternommen hat.

Vermutlich wird der Bericht auch bald wieder in der Schublade verschwinden...

Aber auch auf Länderebene sieht es nicht viel besser aus, auch wenn es am Thema "IT-Sicherheit" vorbei geht:
Es dauerte 20 Jahre, um fest zu stellen, dass das Land Baden.Württemberg über 1700 Lehrer zu wenig eingestellt hat, obwohl deren Stellen frei geworden waren. Aufgefallen ist der Software-Fehler im Rahmen eines kürzlich durchgeführten Software-Updates.

 

[cuco]

Hmm, da hat aber jemand alles aufgeführt, was irgendwie IT für den Bund macht //EDIT oder auch nur am Rande damit zu tun hat. Mit "77 Verantwortliche" hat das wenig zu tun. Klar, ITZBund als zentraler IT-Dienstleister, BSI als *das* Bundesamt für IT-Sicherheit und CERT-Bund mit dem zentralen Warndienst sind da natürlich absolut richtig bei den Nennungen der Stellen für IT-Sicherheit. Die gematik für die Telematikinfrastruktur im Gesundheitssystem ist zwar aus anderer Sicht fraglich aber natürlich auch im Sicherheitsthema. Aber was ist mit Dingen wie dem Auswärtigen Amt, dem Bundesministerium für Finanzen, der BaFin, usw. Die müssen natürlich abgesichert sein, aber was bitte haben die bei IT-Sicherheit auf Bundesebene für ein Mitspracherecht? Die kann man höchstens als "Kunde" sehen, der halt bei den erstgenannten bestellt, was er an Sicherheit benötigt. Oder sich z.B. vom BSI beraten lässt, was sie denn an Sicherheit brauchen.
Und spätestens beim DLR, der Verbraucherzentrale vzbv oder gar der UniBw wird es absurd. Letzteres ist 'ne Uni. Was bitte soll die Uni da für einen Einfluss auf die IT-Sicherheit des Bundes haben?
Das wirkt alles so, als hätte jemand einfach nur fleißig recherchiert, welche Instanzen alle zum Staat gehören und auch irgendwie 'ne Netzwerkschnittstelle haben, die abgesichert sein muss.
Danach habe ich aufgehört zu googeln, wer sich da alles hinter den Abkürzungen versteckt. Scheint mir eher hochgradig konstruiert zu sein, damit man sich das irgendwie schön hinreden kann (bzw. schlechtreden kann), ohne sich da wirklich mit beschäftigt zu haben.

Ich will damit nicht sagen, das alles super toll und korrekt und perfekt zentralisiert ist. Ich will damit nur sagen, dass hier reißerisch mit erfundenen Zahlen (77 Einrichtungen, die mitreden) um sich geworfen wird, die gar keine Substanz haben. Das bestätigt mich jetzt auch um so mehr in dem, was ich in Beitrag #6 schon vermutet habe: Da waren es auch viel zu viele Rechenzentren in meinen Augen, die da genannt wurden.

Andererseits ist der Bundesrechnungshof ja normal etwas fundierter (als die Grafik von der "cybersicherheitsarchitektur") und die kommen auf ähnliche Zahlen.

 

[Mornsgrans]

Du weißt ja: Die Wahrheit steht "irgendwo in der Mitte" - und selbst dann wäre es ein ähnlich katastrophales Bild.