BSI-konformer mobiler Arbeitsplatz für VS-NfD: Sicherer Zugriff auf eingestufte Informationen – auch unterwegs

Advertorial

Schon im Büro unterliegt der Umgang mit sensiblen, eingestuften Informationen streng regulierten technischen und organisatorischen Vorgaben. Soll ein Zugriff auf Verschlusssachen, die nur für den Dienstgebrauch (VS-NfD) freigegeben sind, auch ortsunabhängig von einem Notebook aus erfolgen, erhöhen sich die Anforderungen noch einmal: Neben einem leistungsfähigen virtuellen privaten Netzwerk (VPN) sind eine Multi-Faktor-Authentisierung, eine zentrale Policy-Steuerung und je nach Einsatzzweck auch eine Festplattenverschlüsselung erforderlich.

Die Gesamtlösung muss alle Anforderungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) an einen sicheren VS-NfD-Arbeitsplatz erfüllen. Gleichzeitig sollte sie leistungsfähig genug sein, damit auch ressourcenintensive Anwendungen wie Videotelefonie und Mehrschirmbetrieb etwa im Homeoffice flüssig laufen.

Die genannten Komponenten BSI-konform zusammenzustellen, ist aufwendig. Praktisch sind daher integrierte Lösungspakete, die die geforderten Vorgaben bereits erfüllen. Diese sind als hardwareunabhängiges Softwarebundle und als Komplettlösung inklusive vorkonfiguriertem Notebook erhältlich. So kann eine Organisation vorhandene Geräte weiterverwenden oder sofort einsatzbereite Mobilrechner bereitstellen.

Der regulatorische Rahmen

Für Organisationen der öffentlichen Hand sind bei der Verarbeitung von VS-NfD die Vorgaben des BSI IT-Grundschutzes und der Verschlusssachenanweisung (VSA) gesetzlich verbindlich. Der IT-Grundschutz legt das allgemeine, ganzheitliche Sicherheitsniveau fest, während die VSA für den Geheimschutz zusätzliche, spezifische Maßnahmen für Verschlusssachen fordert. Für Unternehmen sind hingegen die strengen Richtlinien des BSIVS-NfD-Merkblatts verbindlich.

Die Vorgaben des BSI betreffen unter anderem die Endgeräte sowie die eingesetzten Verschlüsselungsverfahren, Authentifizierungsmechanismen und organisatorische Prozesse. Ein sicherer mobiler Arbeitsplatz muss daher mehrere Schutzziele erfüllen:

1. Vertraulichkeit und Integrität der Daten: Daten dürfen ausschließlich autorisierten Personen zugänglich sein – sowohl während der Übertragung als auch auf dem Endgerät selbst.
2. Sichere, manipulationsgeschützte Identitäten: Mitarbeitende müssen eindeutig und fälschungssicher identifiziert werden, typischerweise durch Smartcards und Multi-Faktor-Authentifizierung.
3. Schutz des physischen Endgeräts: Bei Verlust oder Diebstahl eines Notebooks darf kein Zugriff auf gespeicherte Daten möglich sein. Eine vollständige Festplattenverschlüsselung ist daher obligatorisch.
4. Trennung zwischen Kontexten mit unterschiedlichen Sicherheitsanforderungen: Nicht nur Applikationen, sondern auch Netze müssen wirksam segmentiert werden, um Angriffsflächen zu minimieren.
5. Skalierbarkeit und zentrale Verwaltung: Behörden, öffentliche IT-Dienstleister und geheimschutzbetreute Unternehmen betreiben oft fünf- bis sechsstellige Gerätezahlen. Lösungen müssen daher leicht einzurichten und zentral administrierbar sein.

Letztlich muss sichergestellt sein, dass Daten in allen drei Stadien bestmöglich geschützt sind: „Data at Rest“ durch die Festplattenverschlüsselung, „Data in Motion“ durch die VPN-Verbindung und „Data in Use“ bei der Verarbeitung auf dem Endgerät.

Diese Vorgaben lassen sich erfüllen, wenn die technische Basis der Lösung von Anfang an für das benötigte Sicherheitsniveau und optimale Usability ausgelegt wird. Dazu zählt, dass die Sicherheitsfunktionen transparent implementiert sind und einen reibungslosen Zugriff auf das Endgerät ermöglichen.

VPN-Client mit quantenresistenter Verschlüsselung

Ein VPN ist das Grundgerüst für die sichere Anbindung eines mobilen Geräts an das Unternehmensnetz. Der von genua, einem Unternehmen der Bundesdruckerei-Gruppe, entwickelte VPN-Client genuconnect nutzt das IPsec-Protokoll mit vom BSI empfohlenen Algorithmen und ermöglicht einen automatischen Verbindungsaufbau.

Transparent: Der VPN-Software-Client genuconnect – Teil der genusecure Suite – ist komplett in Windows integriert und wird mit Windows-Tools verwaltet. In Kombination mit der VPN-Appliance genuscreen entsteht ein quantenresistentes VPN-Ökosystem „Made in Germany“.

In Kombination mit der vom BSI zugelassenen VPN-Appliance genuscreen, die auch in einer virtualisierten Variante erhältlich ist, baut genuconnect quantenresistente VPN-Verbindungen auf. Die Authentisierung ist an eine Smartcard gekoppelt – ein kompromittiertes Gerät allein reicht daher nicht aus, um Zugriff auf das Netz zu erhalten.

BSI-zugelassene Festplattenverschlüsselung

Der Verlust oder Diebstahl eines Notebooks darf niemals zum Datenverlust führen. Sicher verhindern lässt sich das durch eine Festplattenverschlüsselung, die bereits vor dem Laden des Betriebssystems eine Security-Token-basierte Pre-Boot-Authentifizierung verlangt.

Eine Middleware bindet Security-Tokens wie Smartcards nahtlos in das Windows-Ökosystem ein. Über Microsofts CAPI-Schnittstelle (Cryptographic API) lassen sich Zertifikate in allen gängigen Anwendungen – von Outlook über den Browser bis hin zum Windows-Log-in –nutzen, was den Bedienkomfort erhöht.

Komplettpaket für sichere VS-NfD-Arbeitsplätze

genua hat diese drei Komponenten – VPN-Client, Festplattenverschlüsselung und Smartcard-Middleware – in ein Paket zusammengeführt, das speziell für VS-NfD-Umgebungen entwickelt wurde: die genusecure Suite.

Die eingesetzte Festplattenverschlüsselung ist vom BSI zugelassen für Informationen mit der Einstufung VS-NfD und EU/NATO RESTRICTED. Für die Pre-Boot-Authentifizierung nutzt sie eine Smartcard. Ein ebenfalls BSI-zugelassener Zufallsgenerator erzeugt in Kombination mit der Smartcard eine sichere Entropie für die Verschlüsselung. Die Lösung unterstützt den Microsoft-Upgrade-Mechanismus unter Beibehaltung der verschlüsselten Partitionen/Festplatten. Durch die enge Verzahnung entsteht ein Zero-Trust-Modell am Endgerät: Ohne die korrekte Smartcard kann weder das VPN aufgebaut noch die Festplatte entschlüsselt werden.

Softwarebundle oder Komplettlösung mit Notebook?

Den schnellsten Weg zum VS-NfD-konformen mobilen Arbeitsplatz bietet die HP Sure Station: Auf dem hochsicheren, mit modernster Hardware ausgestatteten Notebook ist die genusecure Suite vorinstalliert. Es ist vom BSI für die Verarbeitung von VS-NfD zugelassen und kann direkt in die eigene VS-NfD-Infrastruktur eingebunden werden.

genua und seine Partner beraten und unterstützen über den gesamten Prozess – von der Auswahl passgenauer Lösungen über die Implementierung und Inbetriebnahme bis zum Service inklusive regelmäßiger Aktualisierungen.

Zukunftsfähiges Sicherheits-Framework

Ein sicherer mobiler Arbeitsplatz im VS-NfD-Umfeld setzt voraus, dass sämtliche Daten durchgehend verschlüsselt werden, eine robuste Multi-Faktor-Authentisierung zum Einsatz kommt und eine zentrale Richtliniensteuerung alle Komponenten nahtlos verknüpft. Kombiniert mit konsequenter Governance, automatisierten Patch-Management-Prozessen und einem ganzheitlichen Sicherheits-Awareness-Programm lässt sich die Angriffsfläche von Remote-Arbeitsplätzen erheblich verkleinern, ohne die Produktivität und Flexibilität der Mitarbeitenden zu beeinträchtigen.

Organisationen, die diese Bausteine gezielt implementieren, schaffen ein zukunftsfähiges Sicherheits-Framework, das den wachsenden Anforderungen an mobile Arbeit und den Schutz sensibler Daten gerecht wird.

Mehr dazu hier