Schriftliche Kleine Anfrage

Transkript

1 BÜRGERSCHAFT DER FREIEN UND HANSESTADT HAMBURG Drucksache 21/ Wahlperiode Schriftliche Kleine Anfrage der Abgeordneten Katja Suding (FDP) vom und Antwort des Senats Betr.: Cybersicherheit von Medien und Verwaltung in der Freien und Hansestadt Hamburg (FHH) In der Nacht vom 08. auf den 09. April 2015 wurde der französische Fernsehsender TV5 Monde offenbar Opfer eines Hacks durch die Terrorgruppe Islamischer Staat (IS). Dabei wurde das Programm unterbrochen und über die Sender-Website sowie seine Social-Media-Kanäle wurden Drohungen und Propaganda des IS verbreitet. Vor diesem Hintergrund frage ich den Senat: Der Senat beantwortet die Fragen teilweise auf Grundlage von Auskünften der Dataport AöR (Dataport), dem Norddeutschen Rundfunk (NDR) und der Medienanstalt Hamburg/Schleswig-Holstein AöR wie folgt: 1. Zu jeweils wie vielen Sicherheitsvorfällen 1 jeweils welcher Art, welcher Kritikalität und welchen Ausmaßes ist es 2014 sowie im bisherigen Jahresverlauf 2015 in den von Dataport betreuten Bereichen der IT-Infrastruktur der Freien und Hansestadt Hamburg gekommen? (Bitte jahresweise auflisten.) 2. Zu jeweils wie vielen Sicherheitsvorfällen jeweils welcher Art, welcher Kritikalität und welchen Ausmaßes ist es gegebenenfalls in den nicht von Dataport betreuten Bereichen der IT-Infrastruktur der Freien und Hansestadt Hamburg, also zum Beispiel im Bereich von Polizei, Feuerwehr, Gerichten, Steuerverwaltung und Hochschulen, in den oben genannten Zeiträumen gekommen? (Bitte jahresweise auflisten.) Im Jahr 2014 wurden 47 Sicherheitsvorfälle registriert. Dabei waren keine schwerwiegenden Fälle zu verzeichnen. 28 Vorfälle wurden durch die Nutzer selbst (überwiegend durch Kennwortweitergabe), 17 durch Externe (davon 16 durch Schadsoftware und einer durch Diebstahl) sowie jeweils ein Vorfall durch organisatorische Mängel und technisches Versagen verursacht. Im Jahr 2015 wurden bisher 16 Vorfälle registriert, die allesamt nicht schwerwiegend waren. Fünf Vorfälle wurden durch Externe, die übrigen durch die Nutzer selbst (Kennwortweitergabe) verursacht. In 2014 und 2015 gab es bei den nicht von Dataport betreuten Bereichen insgesamt 133 Sicherheitsvorfälle, wobei es keinen schwerwiegenden Fall ga Im Übrigen sind die Art der Sicherheitsvorfälle und die genaue zeitliche Zuordnung der Vorfälle in diesen Bereichen nicht hinreichend belastbar dokumentiert. 1 Vergleiche Senatsantwort zu Frage I. 6. in Drs. 20/7821.

2 Drucksache 21/266 Bürgerschaft der Freien und Hansestadt Hamburg 21. Wahlperiode 3. Wie schätzt der Senat, gegebenenfalls auf Basis von Informationen des NDR sowie der MA HSH, die aktuelle Gefährdungslage für in der Freien und Hansestadt Hamburg ansässige Medien ein? Wie oft kam es dort in den oben genannten Zeiträumen gegebenenfalls bereits zu Sicherheitsvorfällen welcher Art und Kritikalität? Nach Auskunft des NDR ist die Gefährdung seiner IT-Systeme durch nicht kommerziell motivierte Hackerangriffe ( Hacktivismus ) aktuell als hoch einzustufen. Entsprechende Sicherheitsvorfälle habe es bisher aber nicht gegeben. Der NDR schütze seine Systeme durch geeignete Sicherungsmaßnahmen basierend auf dem aktuellen Stand der Technik. Eine vollständige Absicherung gegen Hackerangriffe könne jedoch nicht garantiert werden. Der Medienanstalt Hamburg/Schleswig-Holstein sind keine sicherheitsrelevanten Vorfälle der genannten Art bei in Hamburg ansässigen Rundfunkunternehmen bekannt. Da es sich überwiegend um Radioveranstalter handele, werde das Risiko auch als gering eingeschätzt, da der UKW-Verbreitungsweg nicht Cyber -gefährdet sei. Im Übrigen hat sich der Senat hiermit nicht befasst. 4. Wie oft wurde die Informationssicherheitsleitlinie (IS-LL) für die Freie und Hansestadt Hamburg seit ihrem Beschluss durch den Senat am bislang aus welchen Anlässen aktualisiert? Wann erfolgte dies zuletzt? Eine Aktualisierung der Informationssicherheitsleitlinie (IS-LL) war seitdem nicht erforderlich, weil diese allgemeine Grundsätze und Regelungen beinhaltet, die nicht aufgrund konkret aufgetretener Sicherheitsvorfälle an Gültigkeit und Aktualität verlieren. 5. Welche n der Freien und Hansestadt Hamburg, insbesondere Behörden und Senatskanzlei, haben seit Erlass der IS-LL jeweils wann Informationssicherheitsbeauftragte () ernannt? Welche gegebenenfalls noch nicht? Siehe Anlage. a. Wo gab oder gibt es seit jeweiliger Besetzung gegebenenfalls Vakanzen für länger als einen Monat? Außer in der HafenCity Universität, der Hochschule für bildende Künste und der Staats- und Universitätsbibliothek Hamburg Carl von Ossietzky gab es keine über die Dauer von einem Monat hinausgehende Vakanzen. Inwieweit werden die s sicherheitsüberprüft? Siehe Anlage. c. Wie viele Administratoren sind derzeit für Rechenzentren der Freien und Hansestadt Hamburg zuständig beziehungsweise dort tätig? Wann wurden sie jeweils zuletzt bis zu welcher Stufe sicherheitsüberprüft? (Bitte nach von Dataport betreuten und nicht von Dataport betreuten Bereichen differenzieren.) In den Rechenzentren von Dataport sind 424 Administratoren für Kundensysteme und Verfahren der Freien und Hansestadt Hamburg tätig, die vor Aufnahme der Tätigkeit und danach in Abständen von mindestens fünf Jahren sicherheitsüberprüft werden. Für die nicht von Dataport betreuten Bereiche: siehe Anlage. 6. Welche n der Freien und Hansestadt Hamburg, insbesondere Behörden und Senatskanzlei, haben jeweils wann ein eigenes Sicherheitskonzept zur Umsetzung der Rahmenvorgaben des zentralen Sicherheitskonzepts erstellt? Welche haben gegebenenfalls aus welchen Gründen noch keines? Die Erstellung des Rahmensicherheitskonzepts beziehungsweise die Abstimmungen der Behörden hierzu sind noch nicht abgeschlossen. 2

3 Bürgerschaft der Freien und Hansestadt Hamburg 21. Wahlperiode Drucksache 21/ Zu welchen Ergebnissen kamen die en der s hinsichtlich Umsetzung und Wirksamkeit der vorgeschriebenen Maßnahmen zur Informationssicherheit in der jeweiligen? Wann wurden die en jeweils durchgeführt und wann jeweils welche Gegenmaßnahmen im Falle von identifizierten Mängeln eingeleitet? (Bitte nach n differenziert auflisten.) Siehe Anlage. 3

4 Drucksache 21/266 Bürgerschaft der Freien und Hansestadt Hamburg 21. Wahlperiode Anlage Erläuterungen zur Tabelle: SiKo = Sicherheitskonzept; = behördlicher Informationssicherheitsbeauftragter; Admin = Administrator; Non-Basis = nicht von Dataport betreute Infrastrukturen ernannt mit inkl. Fehlanzeige en Rechnungshof Ja, Ja 0./. Netzwerksicherheit: Frei zugängliche Anschlüsse hinreichend abgesichert keine Mängel Personalamt Ja, seit kommissarisch Zentrum für Personaldienste Senatskanzlei Ja, seit kommissarisch Ja 0./. Aufnahme aller Verfahren / Beratung in Einzelfällen Ja, seit Ja 11 Ja, Stufe Ü1, 2010 Aufnahme aller Verfahren / Beratung in Einzelfällen Ja 2 Ja, Stufe 2, 2015 Aufnahme aller Verfahren / Beratung in Einzelfällen Bezirksämter Ja, Ja 0./. Aufnahme aller Verfahren / Einzelne Schutzbedarfsfeststellu ngen im Rahmen der RZ²-Transitionen / Internet über WTS für alle Verfahren mit sensiblen personenbezogenen Daten / Reduzierung Modellinie 2 auf das notwendige Maß fort fort fort Laufend bei Bedarf./. Das Bezirksamt Hamburg-Nord (NITB) fasst die Einzelergebnisse der Bezirksämter zusammen. Desweiteren ist der behördliche Informations- Sicherheitsbeauftragte bei NITB angesiedelt. Behörde für Justiz und Gleichstellung; Staatsanwaltschaft; Vollzugsanstalten (BASIS-Bereiche) Ja , und Nein 0./. Verabschiedung des zentr. RaSiKo wird abgewartet./../. 4

5 Bürgerschaft der Freien und Hansestadt Hamburg 21. Wahlperiode Drucksache 21/266 Gerichte (NON-BASIS- Bereiche) ernannt mit inkl. Fehlanzeige Ja, , / (Wechsel), / (Wechsel), / (derzeit kommissarische Aufgabenwahrnehmun g), und jeweils 3 am en Nein 32 Ja, nach 34 HmbSÜG Verabschiedung des zentr. RaSiKo wird abgewartet./../. Hamburgischer Beauftragter für Datenschutz und Informa-tionsfreiheit Behörde für Schule und Berufsbildung Ja, Ja 0./. Beratung nur in Einzelfällen / Ressourcenprobleme Ja, Nein 2 (LI) Nein Beratung zu Einzelfällen, Konkrete Ausgestaltung wird erst nach Fertigstellung des Rahmensicherheitskonzeptes erfolgen./../../../. Die Vorfälle beziehen sich auf den Bereich der Schulen bzw. des Landesinstituts für Lehrerbildung und Schulentwicklung; es handelt sich nicht um Verwaltungsarbeitsplätze. Behörde für Wissenschaft und Forschung / Hochschulamt Ja in 2014 Nein 0./. Kein eigenes, da Konzept für Basiskunden der FB./../../. Universität Hamburg Ja, Nein 5 Nein./../../../. Technische Universität Ja, Keine Mängel Hamburg-Harburg Nein 21 Nein mangels personeller Ressourcen noch in Arbeit RZ-interne en: Maßnahmen sind wirksam, keine Mängel keine nach BSI Grundschutz 5

6 Drucksache 21/266 Bürgerschaft der Freien und Hansestadt Hamburg 21. Wahlperiode Hochschule für Angewandte Wissenschaften Hamburg (HAW) ernannt mit inkl. Fehlanzeige HafenCity Universität Nein, kommissarisch wahrgenommen durch den IT-Leiter der HCU bis zum Ende der Ausarbeitung eines einheitlichen Kozepts für die Hochschulen in Zusammenarbeit mit der BWF und der einer möglichen Kooperation zwischen den kleinen Hochschulen Nein./. 14: Die HAW Hamburg gehört nicht zu den Non-Basis- Kunden, sondern ist NUK- (netzunabhäng iger) Kunde. Ja, siehe Spalte en en Nein 7 Nein In Entwicklung, zentrale Vorgaben werden abgewartet../../../. Die HAW Hamburg hat im Juli 2014 Sicherheitsüberprüfungen nach 34 HmbSüGG ohne Mitwirkung des Landesamtes für Verfassungsschutz durchgeführt. Nach den rechtlichen Vorgaben wurde die Überprüfung auf die Beschäftigten be-schränkt, welche im Kernbereich des FHH-Netzes mit Systemadministrationsaufgaben betraut sind. Hierbei handelte es sich um fünf Beschäftigte des Infor-mationstechnik Service Centers (ITSC). Eine Einbeziehung der Rechenzentren der Fakultäten Technik und Informatik und Life Sciences in die Sicherheitsüberprüfung erfolgte 2014 nicht, da in den Fakultäten keine Administrationsaufgaben im Kernbereich des FHH-Netzes mit Systemadministration wahrgenommen werden. Die Zuordnung zu einer Stufe ist für die Sicherheitsüberprüfungen nach 34 HmbSÜGG nicht möglich. schrittweise Aufnahme der Verfahren laufend Hochschule für Bildende Künste siehe HCU Nein 2 Nein In Entwicklung, zentrale Vorgaben werden abgewartet. schrittweise Aufnahme der Verfahren 6

7 Bürgerschaft der Freien und Hansestadt Hamburg 21. Wahlperiode Drucksache 21/266 Hochschule für Musik und Theater ernannt mit inkl. Fehlanzeige en Nein 3 Nein Administration Verwaltungsarbeitsplätz e durch RRZ Uni HH nach Dataport- Vorgaben; im akademischen HfMT- Netz bislang keine sicherheitsrelevanten Anwendungen bzw. Datenbestände bislang noch keine formelle./. Landesbetrieb Staatsund Universitätsbibliothek Carl-von-Ossietzky bisheriger Beauftragter ausgeschieden; Nachfolger wird in Kürze bestellt./. 8 Köpfe, nicht VZÄ Nein nach Inkraftsetzen RaSiKo noch keine en durchgeführt./../. Kulturbehörde Ja, Ja 0./. schrittweise Aufnahme Behörde für Arbeit, Soziales, Familie und Integration inkl. Landesbetrieb für Erziehung und Beratung Behörde für Gesundheit und Verbraucherschutz inkl. HU Behörde für Stadtentwicklung und Umweltschutz Landesbetrieb für Straßen, Brücken und Gewässer Landesbetrieb für Geodaten und Vermessung Behörde für Wirtschaft, Verkehr und Innovation Nein, Kommisarisch durch IT-Leiter Ja 4 Ja, Stufe schrittweise Aufnahme Ja, in Arbeit 16 Nein Aufnahme aller Verfahren / Beratung nur in Einzelfällen Ja, Ja 0./. Aufnahme aller Verfahren Ja, Nein 3 Nein schrittweise Aufnahme Ja, Nein 3 Nein sukzessive Aufnahme Ja, Nein 0./. schrittweise Aufnahme Laufend keine Mängel fort 7

8 Drucksache 21/266 Bürgerschaft der Freien und Hansestadt Hamburg 21. Wahlperiode Landesbetrieb Großmarkt ernannt mit inkl. Fehlanzeige en Ja, Nein 2 Nein schrittweise Aufnahme und des Servers Hamburg Port Authority Behörde für Inneres und Sport (BIS) ohne Polizei und Feuerwehr Polizei Ja, Ja, Nein 20 Ja, Stufe 1, 2010, 2012, Jan Ja, Ja, Stufe Ü3 Nein, aktuell nicht erforderlich Aufnahme aller IT- Verfahren (im BSI- Grundschutz-Tool dokumentiert) 1 Ja Stufe Ü2 Aufnahme aller Verfahren / Beratung nur in Einzelfällen 4 Ja, 34 HmbSÜGG laufend Audit der deutschen Polizeibehörden laufend, zuletzt Keine Mängel laufend etwaige Mängel werden zeitnah abgestellt Prüfbericht liegt vor, Maßnahmen sind in Vorbereitung Feuerwehr Siehe BIS Siehe BIS 9 Ja Stufe 1 Siehe BIS Siehe BIS Siehe BIS Landesamt für Siehe BIS Siehe BIS 6 Ja (Ü3) Siehe BIS siehe BIS siehe BIS Verfassungsschutz Landesbetrieb für Verkehr Finanzbehörde ohne Steuerverwaltung Siehe BIS Siehe BIS 3 Ja, Stufe 2 Siehe BIS Siehe BIS Siehe BIS Ja, Ja 0./. Aufnahme aller Verfahren und Dokumentenstatus Finanzbehörde Steuerverwaltung Ja, Nein 15 Ja, Stufe 1 bei Verfahrensfreigaben Statistikamt Nord Ja, Nein 6 Nein fortlaufende Aufnahme aller Verfahren in Grundschutz seit bislang keine 8