Mehr Sicherheit für die IT-Infrastruktur der ETH

Es ist schnell passiert, eine auf den ersten Blick harmlos aussehende Mail, man dr¨¹ckt auf den Link darin, und schon installiert sich im Hintergrund eine Ransomware auf dem Computer, die die Daten des Computers oder im schlimmsten Fall grosser Teile der IT-Ger?te und Speichersysteme verschl¨¹sselt. Dahinter stehen Cyberkriminelle, die damit die Einzelperson oder die entsprechende Organisation zu erpressen versuchen, und gegen hohe Geldsummen die angeblich passende Entschl¨¹sselungssoftware anbieten. Im Normalfall k?nnen ¨¹ber Back-Ups und Sicherungstools die Daten wieder gerettet werden, aber daf¨¹r m¨¹ssen sie zuvor entsprechend gesichert worden sein.

Wenn der eigene Computer zum Risiko wird

Wenn der eigene Computer auf dem neuesten Stand der Virenschutz-Software ist und alle Updates und Patches der Apps und des Betriebssystems aktuell sind, dann sind die Chancen gut, dass g?ngige Ransomware-Angriffe, und nat¨¹rlich andere Schadsoftware, erkannt werden und sich gar nicht erst installieren k?nnen.

Ist das aber nicht der Fall, sind nicht nur die eigenen Daten in Gefahr, sondern auch die aller anderen, die in der gleichen Netzwerkzone arbeiten. Ein Rechner, der mit Ransomware oder einer anderen Malware infiziert und im ETH-Netz ist (sei es direkt oder via VPN (Virtual Private Network)), ist eine ernsthafte Gefahr f¨¹r andere IT-Ger?te und die Daten der ETH-Angeh?rigen. Dies ist unabh?ngig davon, ob es sich um ein privates IT-Ger?t wie Laptop, Handy oder Tablet handelt oder eines, das der ETH geh?rt.

Wie k?nnen solche Schwachstellen in der IT-Infrastruktur erkannt werden, bevor Angreifer*innen diese grossfl?chig ausnutzen? Nur wenn diese potenziellen Einfallstore f¨¹r Attacken schnell identifiziert und geschlossen werden k?nnen, kann das Risiko, Opfer einer Cyberattacke zu werden, deutlich verringert werden.

Wie soll die IT-Infrastruktur an der ETH besser gesch¨¹tzt werden?

Um Schwachstellen durch nicht gepatchte IT-Ger?te im ETH-Netzwerk zu erkennen, und mit dem Stand der Technik und den Anforderungen der IT-Sicherheit auf der H?he zu bleiben, wird an der ETH nun untersucht,  wie ein technisches System zum Auffinden solcher Schwachstellen eingef¨¹hrt werden kann.

Um dies rechtlich entsprechend abzust¨¹tzen, wurde die ?Benutzungsordnung f¨¹r Informations- und Kommunikationstechnologie an der ETH Z¨¹rich? (BOT) einer Teilrevision unterzogen. Sie ist seit 1. Juni 2021 in Kraft und enth?lt Regelungen, die es m?glich machen, den technischen Stand der IT-Infrastruktur besser auf Schwachstellen zu ¨¹berpr¨¹fen (Abschnitt 6, Art. 18-20^bis BOT).

Werden solche Schwachstellen identifiziert, k?nnen die zust?ndigen IT-Betreiber (z.B. die IT-Supportgruppe des Departements) oder die IT-Security Officer der Informatikdienste in akuten Bedrohungslagen die sofortige Sicherheitsaktualisierung von IT-Systemen im Auftrag des Chief Information Security Officers (CISO) anordnen. Dies ist in der BOT ausdr¨¹cklich so geregelt (Art. 20^bis Abs. 3 BOT), um die IT-Infrastruktur an der ETH Z¨¹rich vor gef?hrlichen Angriffen zu sch¨¹tzen.

Kontrolliert die ETH also zuk¨¹nftig, was ich auf meinem Computer tue?

Nein. Schwachstellenmanagement hat nichts mit einer Einsicht in Ihre privaten Daten oder der Kontrolle Ihrer Arbeitsaktivit?ten zu tun. Es wird ausschliesslich der technische Zustand der IT-Ger?te ¨¹berpr¨¹ft, die im ETH-Netzwerk unterwegs sind.

Wie kann in Zukunft ¨¹berpr¨¹ft werden, ob ein IT-Ger?t mit Schwachstellen ans ETH-System angeschlossen wird?

Gem?ss der neuen Bestimmung, Anhang BOT Ziffer 3 Abs. 1^bis, d¨¹rfen die Informatikdienste  permanent nicht personenbezogene (anonyme, pseudonyme) Auswertungen zur ?berpr¨¹fung des technischen Zustands der IKT-Mittel im Auftrag des CISO vornehmen (z.B. Patch-St?nde, Virenschutzmeldungen, Schwachstellenscans) und zur Gew?hrleistung der IKT-Sicherheit Randdaten ¨¹ber deren Nutzung aufzeichnen.

Muss ich sonst noch etwas wissen?

Die revidierte BOT gilt nicht nur die Nutzung der gesamten ETH-eigenen IT-Infrastruktur und alle -Ger?te, sondern auch f¨¹r ausgelagerte Dienstleistungen, z.B. Cloud-L?sungen (Art. 3 BOT). Ausserdem f¨¹r private IT-Ger?te jedweder Art, die im Datennetz der ETH genutzt werden.