Die steigende Zahl komplexer Cyberangriffe, zunehmende geopolitische Spannungen und die Abhängigkeit von wenigen Technologieanbietern gefährden die Sicherheit und Beständigkeit digitaler Infrastrukturen in der öffentlichen Verwaltung. Zu diesem Schluss kommen das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS).
In einem gemeinsamen Strategiepapier schlagen BSI und ZenDiS Gegenmaßnahmen vor, mit denen ein höheres Sicherheitsniveau für Softwareprodukte erreicht werden soll. Open Source sieht man dabei als Grundlage für die digitale Souveränität.
Die unter anderem vom BSI ins Leben gerufene Plattform openCode ist zentraler Baustein des neuen Sicherheitskonzeptes. Sie soll durch verbindliche Sicherheitsstandards und standardisierte Prüfverfahren die kritischen Schwachstellen in der Softwarelieferkette automatisiert aufdecken. Gleichzeitig will man mit openCode Abhängigkeiten transparent machen und nachvollziehbare Herkunftsnachweise für kritische Softwarekomponenten schaffen. Beides ist für einzelne Anbieter oder Organisationen bislang kaum umsetzbar. Technisch betreibt openCode dafür eine eigene GitLab-Instanz und stellt Container-Images zur Verfügung.
Durch openCode soll Open-Source-Software zu einem Schlüsselelement einer resilienten digitalen Infrastruktur in Deutschland heranwachsen und es Sicherheitsorganisationen ermöglichen, präventiv statt nur reaktiv auf Bedrohungen zu antworten. Vorfälle wie der SolarWinds-Cyberangriff, der 2020 die Systeme zahlreicher Regierungsbehörden und Unternehmen kompromittierte, sollen sich damit nicht mehr wiederholen können.
Zur Umsetzung auf der Basis von openCode schlagen BSI und ZenDis folgende Schritte vor, mit denen noch dieses Jahr begonnen werden soll: Schaffung eines sicheren Systems zur Softwareprüfung und -herstellung mit Verifikationsprozess, souveräne Container-Registry mit einheitlichen Standards, resiliente Verteil-Infrastruktur für Software sowie gemeinsame Qualitätskriterien und Prüfstandards. Läuft alles nach Plan, soll die Plattform 2026 startklar sein.
(
Kommentare