Ausfall Informations- und Kommunikationstechnologien

Transkript

1 Ausfall Informations- und Kommunikationstechnologien (IKT) Definition Von einem Ausfall der Informations- und Kommunikationstechnologien (IKT) wird dann gesprochen, wenn technische Mittel zur Verarbeitung oder Weiterleitung von Informationen temporär nicht mehr verfügbar sind. Wegen der verbreiteten Anwendung von IKT kann ein solcher Ausfall gravierende Konsequenzen haben. Das Schadensausmass ist abhängig von der Dauer, von der Art der betroffenen Technologien, der Anzahl und der Bedeutung der betroffenen Dienste und Nutzer sowie Beschädigung von Daten. Auch Ausfälle von spezifischen Systemen können zu grossen Schäden führen, wenn etwa die IKTbasierten Kontrollsysteme von kritischen Infrastrukturen (Kraftwerke, Transportsysteme etc.) betroffen sind. Ein Ausfall von IKT kann deshalb zu verschiedenen weiteren Gefährdungen führen, weil viele Infrastrukturen von einer funktionierenden IKT abhängen und durch diese Technologien miteinander vernetzt sind. Ein Ausfall der IKT kann durch verschiedene Ereignisse ausgelöst werden. Beispiele dafür sind Störungen oder Ausfälle von Komponenten, menschliche Fehlhandlungen, Naturereignisse (z. B. Erdbeben), kriminelle Handlungen (Cybercrime, Cyberterror) oder technische Pannen (Stromausfall). Im vorliegenden Dossier steht eine Störung im Vordergrund. 30. Juni 2015

2 Ereignisbeispiele 30. Oktober 2013 USA Ausfall Microsoft Azure Storage Cloud Beim Versuch, ein abgelaufenes SSL-Zertifikat zu aktualisieren, das für die verschlüsselte Datenübertragung notwendig ist, kommt es zu einem Unterbruch der Microsoft Azure Storage Cloud (Microsoft Cloud Computing Plattform). Die Folgen sind weltweit spürbar. Der Unterbruch dauert von Freitag bis Samstag rund 20 Stunden. Während dieser Zeit ist kein verschlüsselter Datenaustausch zwischen Kunden und der Plattform möglich. Der normale http-verkehr ist nicht betroffen. Die meisten Kunden sind während rund 12 Stunden betroffen, einige sogar während 24 Stunden. 52 Microsoft-Dienste verzeichnen Probleme und Ausfälle, darunter Xbox Live. Die betroffenen Kunden werden entschädigt bzw. erhalten Gutschriften. 21. Oktober 2013 Schweiz Ausfall Swisscom Internet Zugang Schweizweit fällt der Internet-Zugang für Swisscom-Kunden wegen einer unbekannten Störung aus. Der Internet-Zugang ist entweder sehr langsam oder steht gar nicht zur Verfügung. Betroffen sind alle Privat- und KMU-Kunden der Swisscom. Nach einem halben Tag Unterbruch kann das Problem behoben werden. 26. Dezember 2006 Taiwan Unterbrochenes Unterseekabel Am 26. Dezember 2006 beschädigt ein Erdbeben vor Taiwan Unterseekabel, über die die Telefon- und Internetverbindungen abgewickelt werden. Mehrere Millionen Internet-Nutzer in Ostasien haben nur noch eingeschränkten Zugang zum Internet und internationale Telefongespräche sind zeitweise unmöglich. Die Banken beklagen teils massive Störungen ihres Geschäfts. 2/10

3 Einflussfaktoren Diese Faktoren können Einfluss auf die Entstehung, Entwicklung und die Auswirkungen der Gefährdung haben. Gefahrenquelle Ausfall von Infrastrukturen (z. B. durch Naturgefahren, Sabotage) Technische Defekte (Materialversagen, Schadhafte Software usw.) Bedienungsfehler im Betrieb oder Unterhalt Andere Fehlfunktionen Bedeutung der Systeme: - Bedeutung der von den betroffenen Systemen abhängigen Dienste - Anzahl Nutzer der betroffenen Systeme Proprietäre Systeme: keine alternativen Systeme/Plattformen zur Verfügung Zeitpunkt Ort / Ausdehnung Ereignisablauf Geschäftszeiten oder nachts Arbeitstage oder Wochenende, Feiertage, Ferienzeit, Jahreszeit Grad der Verbreitung betroffener Systeme Grad der Vernetzung betroffenen Systeme (Kaskadeneffekte) Betroffene Dienste/Services Betroffene Nutzer/Kunden Betroffene Sektoren Grad des Datenverlustes Vorwarnzeit des Ausfalls Umfang des Ausfalls Verfügbarkeit alternativer Systeme Dauer des Ausfalls Verhalten der betroffenen Organisationen Reaktion der Kunden und Nutzer 3/10

4 Abhängigkeiten Dargestellt sind Ereignisse und Entwicklungen aus dem «Katalog möglicher Gefährdungen» des Bundesamts für Bevölkerungsschutz (BABS), die Auslöser oder Folge eines Ausfalls der IKT Infrastruktur sein können. Mögliche Auslöser Hydrologische/meteorologische Naturgefahren Hochwasser Sturm Unwetter / Gewitter Starker Schneefall Ausfälle von Versorgungs-, Verkehrsund Informationsinfrastrukturen Ausfall Stromversorgung Schadensereignis bei Bauwerken Brand Kriminalität / Terrorismus Konventioneller Anschlag Cybercrime Cyber-Angriff Gravitative Naturgefahren Rutschung Seismische Naturgefahren Erdbeben Ausfälle von Versorgungs-, Verkehrsund Informationsinfrastrukturen Ausfall Informations- und Kommunikationinfrastruktur Mögliche Folgen Ausfälle von Versorgungs-, Verkehrsund Informationsinfrastrukturen Ausfall Logistikzentrum Ausfall Informations- und Kommunikationsinfrastruktur Ausfall Stromversorgung Ausfall Verteilinfrastruktur Erdölprodukte Ausfall Verteilinfrastruktur Gas Ausfall Verteilinfrastruktur Wasser Ausfall von GPS-Systemen Ausfall Fluginfrastruktur Ausfall Bahninfrastruktur Versorgungsengpässe Versorgungsengpass Nahrungsmittel Kriminalität/Terrorismus Wirtschaftskriminalität und -spionage Cybercrime Cyber-Angriff 4/10

5 Szenario Intensität In Abhängigkeit der Einflussfaktoren können sich verschiedene Ereignisse mit verschiedenen Intensitäten entwickeln. Die unten aufgeführten Szenarien stellen eine Auswahl von vielen möglichen Abläufen dar und sind keine Vorhersage. Mit diesen Szenarien werden mögliche Auswirkungen antizipiert, um sich auf die Gefährdung vorzubereiten. 1 erheblich Ausfälle bei einzelnen Providern Auswirkungen beschränken sich auf IKT-Sektor Keine kritischen Dienste betroffen Bekanntes Ereignis, Massnahmen ebenfalls bekannt Kurze Dauer (weniger als 1 Tag) 2 - gross Ausfälle bei mehreren Providern Auswirkungen auf weitere kritische Sektoren Unbekanntes Ereignis, Massnahmen aber aus Erfahrungen anwendbar Kritische Dienste betroffen Mittlere Dauer (zwei bis drei Tage) 3 - extrem Ausfälle bei praktisch allen Providern Auswirkungen auf kritische Infrastrukturen in den Sektoren Energie, Telekommunikation und Verkehr Schäden bei Verkehrs- und Energiesteuerungssystemen, massive Störung bei Telekom-Dienstleistungen Kritische Dienste betroffen (z. B. korrumpierte Authentifizierung) Gegenmassnahmen sind nicht vorhanden, die Entwicklung dauert Wochen Die Öffentlichkeit ist von den Angriffen indirekt, aber im Alltag spürbar betroffen Lange Dauer (mehr als 1 Woche) Wahl des Szenarios Für dieses Beispiel ist das Szenario «gross» gewählt worden. Dieses Szenario ist in der Schweiz grundsätzlich vorstellbar, aber doch selten zu erwarten. 5/10

6 Ereignis Ausgangslage / Vorphase Ein Betreiber von Daten Centren verfügt an verschiedenen, geografisch getrennten Standorten über Cloud-Rechenzentren, die redundant betrieben werden. Um die Last des Datenverkehrs unter den Rechenzentren besser zu regeln, will der Betreiber den Betrieb auf eine neue Steuerungssoftware migrieren. Ereignisphase Wegen eines Konfigurationsfehlers kommt es bei der Migration zur neuen Software zum kompletten Ausfall eines der Rechenzentren, da der Datenverkehr nicht regelmässig verteilt wird, sondern das betroffene Rechenzentrum überlastet wird. Der Betreiber versucht erfolglos, den Fehler durch eine veränderte Konfiguration zu beheben. In der Folge trennt der Betreiber das betroffene Rechenzentrum vom Netz und macht die Migration rückgängig. Da die Daten des ausgefallenen Rechenzentrums als Redundanz auch an den anderen Standorten gespeichert sind, übernehmen diese vorübergehend den Datenaustausch mit den Kunden. Bei der Wiederinbetriebnahme des betroffenen Rechenzentrums beginnt das automatische Rückspielen der Daten aus den anderen Rechenzentren auf das ausgefallene Rechenzentrum. Da dieser Fall zum ersten Mal auftritt, wird erst jetzt offensichtlich, dass der generierte Datentransfer enorm viel Bandbreite beansprucht, dass das Rechenzentrum extrem viele Daten verarbeiten muss und dass der Restore-Prozess deshalb deutlich länger dauert als erwartet. Zum einen entstehen beim Restore korrupte Dateien, die später eigens wieder hergestellt werden müssen, zum anderen kann der Betreiber der Cloud-Rechenzentren keinen Einfluss auf den Restore des ausgefallenen Rechenzentrums nehmen, da die Steuerungssoftware keinen Abbruch des Prozesses zulässt. Während Stunden entsteht ein sehr grosser Netzwerkverkehr, der sich markant auf die mit dem Betreiber arbeitenden Dienste bemerkbar macht. Praktisch alle dieser internetbasierten Dienstleistungen unterliegen massiven Einschränkungen bzw. sie fallen vollständig aus. Als Erste spürbar betroffen und eingeschränkt sind Dienste, die auf eine tiefe Latenz angewiesen sind, wie etwa Dienste, die abhängig sind von der Synchronisation grosser Datenbanken sowie Streamingdienste wie z. B. Multimedia-Anbieter. Aber auch Webzugriffe, , Remote Access und Zugriffe von mobilen Geräten sowie und Teile der Telefonie sind betroffen. Notfalldienste funktionieren KMU, zwei der zehn grössten Online-Shops der Schweiz, ein grosses Logistik-Unternehmen, Teile einer städtischen Verwaltung sowie zahlreiche kleine Hostinganbieter sind als Kunden des Betreibers direkt vom Ereignis betroffen. Sie haben während zwei Tagen nur erschwert Zugriff auf ihre virtualisierte Umgebung und sind von korrupten Datenbeständen betroffen. Durch den fehlerhaften Restore-Prozess und fehlende Backups erleiden viele Kunden einen Datenverlust. Ein Spital mit 500 Betten und 2000 KMU erleiden einen partiellen Datenverlust, 500 KMU gar einen kompletten Datenverlust. Auch die Steuerverwaltung einer Stadt erleidet einen partiellen Datenverlust. 6/10

7 Nicht oder nur wenig betroffen sind Nutzer mit dedizierten Verbindungen, eigenen Netzwerken oder Ausweichsystemen wie z. B. Funk, Satellitenkommunikation sowie Provider mit eigenen Verbindungen. Regenerationsphase Nach gut zwei Tagen stellt sich wieder eine normale Netzwerkbelastung ein. Wo Kunden des Betreibers nicht ausreichend auf ein solches Ereignis vorbereitet waren, weil etwa Backups der Daten und Konfigurationen fehlen, dauern die Massnahmen zur Behebung der Schäden deutlich länger an. Dazu gehören das Wiederherstellen konsistenter Datenbestände, das Nacherfassen von Transaktionen und ähnliches. Zeitlicher Verlauf Das Ereigniss beginnt spontan, die Einschränkungen treten sofort auf und dauern rund zwei Tage. Auswirkungen Vorphase: keine Ereignisphase: 2 Tage Regenerationsphase: 5 Tage Dauer Räumliche Ausdehnung Keine klare Abgrenzung möglich. Am stärksten betroffen ist eine Region, die Engpässe sind aber in der ganzen Schweiz und in Europa spürbar. Auswirkungen Personen Durch den Verlust von Patientendaten im betroffenen Spital und in einzelnen Arztpraxen kommt es zu Nicht- oder Falschbehandlungen, die bei mehreren Patienten zu gesundheitlichen Schäden oder gar zum Tod führen. Vereinzelt begehen Personen, die ihre gesamte wirtschaftliche Grundlage verloren haben, Suizid. Durch die eingeschränkten Kommunikationsmöglichkeiten kann es bei hilfeoder pflegebedürftigen Personen zu Verzögerungen bei Unterstützungsleistungen kommen. Insgesamt erleiden über 100 Personen gesundheitliche Schäden oder werden 7/10

8 verletzt. Indirekt kommen 12 Personen ums Leben. Umwelt Das Ereignis hat keine Umweltschäden zur Folge. Sollte das Ereignis auch Auswirkungen auf Steuerungen von Anlagen und Systemen haben, die potentielle Umweltrisiken bergen, können Umweltschäden auftreten z. B. durch unkontrollierte Freisetzung gefährlicher Stoffe in Boden, Wasser, Luft. Wirtschaft Die direkt betroffenen Kunden des Data-Center Betreibers sowie die Kunden der Reseller betreiben einen personellen und technischen Mehraufwand zur Aufrechterhaltung ihrer Dienstleistungen bzw. stellen die Arbeit in betroffenen Bereichen ein. Dies betrifft allein schon rund KMU. Die beiden direkt betroffenen Online-Shops erleiden in den zwei Tagen markante Umsatzeinbussen. Das betroffene Logistik-Unternehmen muss zur Disposition seiner Dienstleistungen einen grossen Mehraufwand betreiben. Die ausgelagerten Bereiche der städtischen Verwaltung sind während zweier Tage nur schlecht online oder telefonisch erreichbar. Wo Kunden von Resellern direkt betroffen sind oder Online-Dienstleistungen durch den hohen Netzverkehr stark eingeschränkt sind, kommt es während zwei Tagen ebenfalls zu Ausfällen in der Geschäftstätigkeit KMU, die Steuerbehörde und das Personenmeldeamt einer mittelgrossen Stadt erleiden partiellen Datenverlust. Dabei gehen auch wichtige Daten wie Steuerdaten und Einwohnerdaten verloren. 500 KMU erleiden sogar einen vollständigen Verlust der beim Betreiber gespeicherten Daten mit entsprechenden Folgen. Die Vermögensschäden und Bewältigungskosten belaufen sich auf rund eine Milliarde CHF. Das Ereignis verringert in der Folge die wirtschaftliche Leistungsfähigkeit um ca. 350 Mio. CHF. Gesellschaft Es sind keine lebensnotwendigen oder sehr wichtigen Dienstleistungen vom Ereignis betroffen. Infolge des IKT-Ausfalls kommt es zu Versorgungsengpässen und -unterbrüchen wegen Ausfällen in der Logistik der Grossverteiler. Betroffene Nutzerkreise haben schlechten oder keinen Webzugriff (Wegfall internetbasierter Dienstleistungen wie , Social Media, online einkaufen, Streamingdienste etc.). Der Datenaustausch zwischen z. B. Spitex, Spitälern, Personenmeldeämtern etc. ist eingeschränkt. Im Nachgang des Ausfalls kommt es während einiger Tage zu einer kritischen Berichterstattung über den Data Center Betreiber, der «nicht in der Lage ist, einen zuverlässigen Service zu bieten und dessen Probleme die halbe Schweiz lahmlegen» sowie über die generelle Abhängigkeit der Wirtschaft und der Bevölkerung von der IKT. 8/10

9 Auswirkungsdiagramm Dargestellt ist das erwartete Ausmass pro Schadensindikator im beschriebenen Szenario. Pro Ausmassklasse nimmt der Schaden um den Faktor 3 zu. Risikodiagramm Dargestellt ist das Risiko des beschriebenen Szenarios zusammen mit den anderen Gefährdungsszenarien, die analysiert wurden. Je weiter rechts und oben ein Szenario liegt, desto grösser ist dessen Risiko. Mutwillig herbeigeführte Ereignisse sind den Plausibilitätsklassen zugeordnet, die anderen den Häufigkeitsklassen. Die Schäden sind aggregiert und monetarisiert dargestellt. 9/10

10 Grundlagen und Referenzen Verfassung Artikel 13, Schutz der Privatsphäre Artikel 92, Post- und Fernmeldewesen Artikel 173, Weitere Aufgaben und Befugnisse Gesetz Datenschutzgesetz (DSG) vom 19. Juni 1992; SR Landesversorgungsgesetz (LVG) vom 8. Oktober 1982; SR 531. Bundesgesetz betreffend Überwachung des Post- und Fernmeldeverkehrs (BÜPF) vom 6. Oktober 2000; SR Bundesgesetz über Massnahmen zur Wahrung der Inneren Sicherheit (BWIS) vom 21. März 1997; SR 120 Verordnung Weitere Grundlagen und Quellen Verordnung zum Bundesgesetz über den Datenschutz (VDSG) vom 14. Juni 1993; SR Bundesrat, 2012: Nationale Strategie zum Schutz Kritischer Infrastrukturen. Schweizer Bundesrat, 27. Juni Bundesrat, 2012: Nationale Strategie zum Schutz der Schweiz vor Cyber- Risiken. Schweizer Bundesrat, 27. Juni MELANI: Halbjahresberichte. Melde- und Analysestelle Informationssicherung (MELANI). Swiss Internet Exchange (SwissIX): Bildquelle Keystone 10/10