Im Dezember 2019 erlitt die Stadt Frankfurt einen Cyberangriff auf ihre städtische Infrastruktur. Durch die Abschaltung

Im Dezember 2019 erlitt die Stadt Frankfurt einen Cyberangriff auf ihre städtische Infrastruktur. Durch die Abschaltung der IT-Systeme konnten größere Schäden durch das Schadprogramm Emotet verhindert werden. Ich frage daher den Magistrat: Welche Maßnahmen wurden zur Verbesserung der IT-Sicherheit nach dem BSI-Grundschutz getroffen, und wie ist die Öffentlichkeit vor möglichen Ausfällen durch Cyberangriffe auf kritische Infrastrukturen, wie zum Beispiel Krankenhäuser, Feuerwehr, Leitstellensoftware für U-Bahnen, Strom- und Wasserversorgung, geschützt?

Die Stadtverwaltung hat sowohl vor, als auch nach dem Vorfall vom 18.12.2019 technisch organisatorische Maßnahmen nach den Anforderungen des BSI-Grundschutz Kompendiums und nach dem Stand der Technik im Sinne der Art. 32, 24, 25 und 5 Absatz I DS-GVO zum Schutz der personenbezogenen Daten der Bürgerinnen & Bürger und der der Mitarbeitenden sowie zum Schutz der sonstigen Informationen auf den Systemen der Stadtverwaltung Frankfurt am Main getroffen. Die Feststellung des Schutzbedarfs und die sich hieraus ergebenden Maßnahmen erfolgen in enger Zusammenarbeit mit dem städtischen Referat für Datenschutz und IT-Sicherheit. Das Amt für Informations- und Kommunikationstechnik wird in diesem Fall erst bei der Umsetzung der erforderlichen technischen Maßnahmen eingebunden. Die Maßnahmen unterliegen einer ständigen Kontrolle und wurden insbesondere im Zuge der Nachbetrachtungen des Vorfalls vom 18.12.2019, die nach wie vor andauern, nochmals überprüft. An den Nachbetrachtungen sind sowohl das Amt 16, als auch 11B, das CERT Frankfurt und das LKA Hessen beteiligt. Wie die Schutzmaßnahmen im Detail aussahen und aussehen, kann sowohl aus Gründen des Datenschutzes, als auch aus Gründen der IT-Sicherheit nicht veröffentlicht werden. Die getroffenen Maßnahmen waren aber so effektiv, dass der Vorfall vom 18.12.2019 nicht zu einer meldepflichtigen Datenpanne im Sinne der Artikel 33 und 34 DS-GVO geführt hat. Gleichwohl wird es auch künftig notwendig sein, die technisch-organisatorischen Maßnahmen einer kritischen Betrachtung zu unterziehen und im Bereich der Mitarbeitendenschulung und Sensibilisierung im Rahmen der bestehenden Kapazitäten auf neue Bedrohungen einzugehen. Hinsichtlich der kritischen Infrastrukturen der Stadt unterfällt die Stadtverwaltung der Anwendung der KRITIS-Verordnung und hat die hierdurch vorgeschriebenen Maßnahmen in dem betroffenen Amt und dem betroffenen Betrieb implementiert. Die KRITIS-Verordnung verlangt alle zwei Jahre eine externe Auditierung. Klinikum Frankfurt Höchst Als Teil der kritischen Infrastruktur führt das Klinikum Frankfurt Höchst aktuell ein Projekt zur Umsetzung des IT-Sicherheitsgesetz, IT-SiG, auf Basis der Anforderungen des Beisitzerinnen und Beisitzer:, Bundesamt für Sicherheit in der Informationstechnik, durch. Dieses Projekt umfasst technische und organisatorische Maßnahmen zum Schutz gegen Cyberangriffe und zur Bewältigung von Sicherheitsvorfällen. Es wurde eine Meldestelle beim BSI eingerichtet, über die wir Sicherheitsvorfälle melden, aber auch sehr schnell über aktuelle Sicherheitsrisiken informiert werden. Diese fließen über unseren Informationssicherheit-Beauftragten in unser Ticketsystem ein und werden entsprechend ihrer Risikoeinstufung bearbeitet. Des Weiteren wurde im Juni 2019 ein erstes Audit der Kritischen Infrastruktur durchgeführt und die Ergebnisse an das BSI berichtet. Zu aktuellen Bedrohungen wurden folgende Maßnahmen umgesetzt: Emotet - Ransomware-Trojaner - - Mit der Warnung des BSI 2019-261197-10k3 vom 19.12.2019 wurden Maßnahmen zum Schutz vor Ransomware-Trojaner, wie zum Beispiel emotet, ausgesprochen. Die empfohlenen Schutzmaßnahmen hat das Klinikum Frankfurt Höchst weitgehend umgesetzt. - Ein wichtiger Bestandteil hierbei ist die Sensibilisierung der Mitarbeiter in Bezug auf den Umgang mit Risiken bei Office-Anhängen in Emails. - Da es für die tägliche Arbeit nicht praktikabel ist, wie empfohlen Office-Anhänge grundsätzlich zu sperren, wurden in der Windows-Domäne des Klinikum Frankfurt Höchst generell Office-Makros gesperrt. Für ausgewählte Benutzer werden die Makros gezielt freigeschaltet. Citrix-Schwachstelle - Citrix Remote Zugänge - Mit der BSI-Meldung 2020-172597-10k1vom 14.1.2020 wurde vor einer kritischen Sicherheitslücke bei den VPN-Gateways für den entfernten Zugang auf organisationsinterne Anwendungen - Directory Traversal Schwachstelle in Citrix Application Delivery Controller und Gateway, CVE-2019-19781 - gewarnt. - Von Citrix wurde bis zur Bereitstellung entsprechender Patche ein Workaround angeboten, der auf den Citrix-System des Klinikum Frankfurt Höchst umgehend implementiert wurde - Der Patch wurde von Citrix am 24.01.2010 zur Verfügung gestellt und umgehend installiert. Zusammen mit dem Patch wurde ein Tool zur Verfügung gestellt, mit dem die Citrix-Infrastruktur auf eine möglicherweise bereits erfolgt Kompromittierung überprüft werden kann. Bei der Überprüfung wurden keine Angriffe auf unsere Systeme festgestellt. Branddirektion Das Einsatzleitnetzwerk der Feuerwehr Frankfurt am Main ist logisch vom städtischen Netzwerkverbund getrennt. Dementsprechend können das Einsatzleitsystem sowie wichtige Anlagenteile davon, die innerhalb des Brand-, Katastrophen- und Rettungsschutzzentrums verortet sind, autark betrieben werden. Nach § 10 Absatz 1 IT-Sicherheitsgesetz bestimmt das Bundesministerium des Inneren durch "Rechtsverordnung, [...] welche Einrichtungen, Anlagen oder Teile davon als Kritische Infrastrukturen im Sinne dieses Gesetzes gelten". In der Rechtsverordnung wird nicht explizit auf die Feuerwehren hingewiesen, jedoch sind die Einrichtungen der Branddirektion für das "Funktionieren des Gemeinwesens unverzichtbar [...] und deren Beeinträchtigung (würde) zu einer Gefährdung der Versorgung der Bevölkerung mit wichtigen Dingen des Lebens führen oder erhebliche Unruhe in großen Teilen der Bevölkerung und somit Gefahren für die öffentliche Sicherheit oder Ordnung (würde) entstehen" (§ 1 Absatz 1 der Verordnung zur Bestimmung von lebenswichtigen Einrichtungen nach dem Hessischen Sicherheitsüberprüfungsgesetz vom 29. November 2013, GVBl. Nr. 27 vom 06.12.2013, S. 650). Daher hat die Branddirektion unabhängig von den Regulierungen des Bundesministeriums des Inneren bereits im Jahr 2017 gemeinsam mit dem Amt für Informations- und Kommunikationstechnik ein Projekt initiiert, das über die logische Trennung des Einsatzleitnetzwerks hinaus dessen vollständige und somit physikalische Trennung von der städtischen Infrastruktur vorsieht. Das Projekt befindet sich in der Umsetzungsphase. Dementsprechend sind bereits heute Anlagenteile des Einsatzleitsystems durch eigene Kabelwege unabhängig vom Funktionieren der städtischen Netzwerkinfrastruktur erreichbar und somit ungebunden zu betreiben. Mit Bekanntgabe des Shutdown wurde das Amt für Informations- und Kommunikationstechnik mit der - logischen - Abtrennung des Einsatzleitnetzwerks von der städtischen Netzwerkinfrastruktur beauftragt. Durch die Abtrennung konnte das Einsatzleitsystem wie geplant autark betrieben werden. Aufgrund des Projektfortschritts und der erst kürzlich vollzogenen physikalischen Trennung der Kabelwege zu den Berufsfeuerwehrwachen waren die dort verorteten Anlagenteile des Einsatzleitsystems für das autark betriebene Einsatzleitsystem weiterhin erreichbar. Dementsprechend konnte auf Notfallmaßnahmen wie die Besetzung des Funks zur Alarmierung der Einsatzkräfte sowie erweiterte Maßnahmen zur Aufrechterhaltung der Einsatzbereitschaft an den Berufsfeuerwehrwachen weitestgehend verzichtet werden. Nach Einschätzung der Branddirektion sind folgende Maßnahmen zukünftig unverzichtbar: - Konsequente Identifikation von IT-gestützten kritischen Geschäftsprozessen und Prozessdaten - Überführung der IT-gestützten kritischen Prozesse in das Einsatzleitnetzwerk zum unabhängigen und hochverfügbaren Betrieb - Aufbau einer knoten- und kantendisjunktiven Kabelführung des Einsatzleitnetzwerks zu den Berufsfeuerwehrwachen zur Sicherstellung des Betriebs auch in Katastrophenszenarien, Integration der Freiwilligen Feuerwehren in das Konzept - Fortführung des Abtrennungsgedankens und damit einhergehend Aufbau einer "Zero-Trust Infrastruktur" mit Perimeter Netzwerken, in denen sich interne Informationssysteme untereinander nicht vertrauen - Bildung von "Blue Teams" die zur Perimeter Verteidigung Sicherheitsanalysen der Informationssysteme zum Identifizieren und Beheben von Sicherheitsmängeln durchführen - Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen durch interne Audits - Beauftragung von geeigneten Dienstleistern zur Durchführung von externen Sicherheits- und Blue Team Assessments. Nach Einschätzung der Branddirektion sind dazu folgende Ressourcen notwendig: - Personal zur Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufenden Verbesserung eines an die Bedürfnisse der Branddirektion angepassten Informationssicherheits- und Kontinuitätsmanagementsystems - Technisches Personal zum Aufbau, Betrieb und Überwachung der Zero Trust Sicherheitsarchitektur. Stadtentwässerung Die SEF unterliegt in den Bereichen Abwasserreinigung, Abwasserableitung und Leittechnik der "Verordnung zur Bestimmung kritischer Infrastrukturen gem. dem IT-Sicherheitsgesetz". Somit ist die SEF verpflichtet, seit 2018 alle zwei Jahre den Nachweis zu erbringen, dass der vom BSI-Grundschutz abgeleitete IT-Sicherheitsstandard B3S für die Sparte "Wasser" erreicht wird. Erstmalig wurde dieses Audit mit Beteiligung des Referates Datenschutz und IT-Sicherheit, 11B, im Dezember 2018 durchgeführt und im März 2019 bestätigt. Die leittechnischen Anlagen der SEF werden auf eigenen Datennetzen mit nur wenigen definierten Schnittstellen zur Systemwartung und Datenübertragung aus den Leitsystemen betrieben. Ein Datenaustausch per E-Mail findet nicht statt. Somit ist die Gefährdung eines Cyberangriffs auf die leittechnischen Anlagen der SEF minimiert. Im Bereich der Bürokommunikation betreibt die SEF alle Applikationen auf Servern im Hosting des Amtes 16. Damit wird das Sicherheitsniveau des Rechenzentrums des Amtes 16 erreicht. Die PCs und Notebooks werden gemäß den städtischen Vorschriften betrieben und regelmäßig mit Softwareupdates und Virenschutzsoftware, nach Freigabe durch das Amt 16, versorgt. Die Daten werden nach dem Datensicherungskonzept, je nach Applikation, mindestens täglich oder mehrfach täglich gesichert. Gemäß dem Schulungskonzept der SEF zum Thema IT-Sicherheit werden alle Mitarbeiterinnen und Mitarbeiter jährlich mittels der Unterweisungssoftware "SAM" zum Thema IT-Sicherheit sensibilisiert und geschult. Zusätzlich werden jährlich Präsenzschulungen für Meister, Gruppenleiter, Sachgebiets-, Abteilungs-und Betriebsleitung durchgeführt. Die Abteilung 68.6 Informationstechnik informiert die Mitarbeiterinnen und Mitarbeiter anlassbezogen über Gefährdungen in der IT-Sicherheit und erstellt quartalsweise Berichte zur IT-Sicherheit. Die Berichte sind in das Risikomanagement der SEF eingebunden. Die SEF nutzt das vom Referat Datenschutz und IT-Sicherheit, 11B bereitgestellte IT-Sicherheitsmanagementsystem, ISMS. In dem ISMS werden die Risikoanalysen und Bewertungen durchgeführt. Die Gefährdungen und die entsprechenden Maßnahmen zur Verringerung der Gefährdungen werden definiert, die Umsetzung der Maßnahmen überwacht und dokumentiert. Im Nachgang zu dem Cyberangriff vom Dezember 2019 und dem damit verbundenen Ausfall der Systeme, insbesondere E-Mail, und der Möglichkeit, dass auch die Kommunikation per Telefon ausfallen kann, wird in diesem Jahr der bisherige Einsatz des Messengerdienstes "ThreemaWorks" als zusätzliche Kommunikationsmöglichkeit bei der SEF erweitert. Verkehrsgesellschaft Frankfurt mbh, VGF Die Stadtwerke Verkehrsgesellschaft Frankfurt am Main mbH, VGF, ist seit 2019 Betreiber einer kritischen Infrastruktur in Sinne der BSI-Kritis-Verordnung und sich der Bedeutung der bei ihr verarbeiteten Informationen, zum Beispiel Dokumente, Daten, IT-Systeme, Anwendungen, unter Berücksichtigung ihrer Geschäftsziele bewusst. Der Schutz der Informationen der verarbeitenden Systeme sowie der dadurch unterstützten Geschäftsprozesse ist eine wesentliche Voraussetzung zur Sicherstellung der ÖPNV-Dienstleistung. Um die in allen für die Leistungserbringung wesentlichen Geschäftsprozessen erforderlichen Informationen zu schützen, betreibt die VGF auf Basis des IT-Sicherheitsgesetzes ein Informationssicherheits-Managementsystem, ISMS, nach DIN ISO/IEC 27001. Hierfür werden die erforderlichen Ressourcen, insbesondere personelle Ressourcen, wie zum Beispiel die Bestellung eines/r Informationssicherheitsbeauftragten, ISB, bereitgestellt. Das ISMS beinhaltet unter anderem alle für die Sicherstellung der Informationssicherheit relevanten Regelwerke, Maßnahmen, Prozesse und Dokumentationen zum Betrieb, der Aufrechterhaltung und dem Notfallmanagement ihrer kritischen Infrastruktur. Ferner gehören dazu auch der enge Kontakt mit dem BSI, Bundesamt für Sicherheit in der Informationstechnik, und die regelmäßige Nachweisführung gegenüber der Bundesbehörde zum Stand der Technik. Vor diesem Hintergrund werden die Empfehlungen und Hinweise des BSI geprüft und mit den bereits vorhandenen Schutzmaßnahmen ergänzt. Weiterhin finden regelmäßige Untersuchungen der IT-Infrastruktur, "Penetrationstest", und Risikoanalysen statt, um mögliche Schwachstellen aufzuzeigen und zu beheben. Dies auch unter Einbeziehung der IT-Dienstleister der VGF, um eine ganzheitliche Betrachtung der IT-Sicherheit zu gewährleisten. Weiterhin ist für die Cyberabwehr das Wissen um das richtige Verhalten ein wichtiger Sicherheitsfaktor. Daher wird durch regelmäßige Sensibilisierungsmaßnahmen, zum Beispiel Aufmerksamkeitskampagne, Vorträge, für die Mitarbeitenden ein wesentlicher Beitrag zur IT-Sicherheit geleistet und durch interne und externe Weiterbildungen flankiert. Straßenverkehrsamt Die vom Straßenverkehrsamt als Baulastträger und Systemverantwortlicher betriebenen verkehrstechnischen Systeme waren vom in Rede stehenden Ereignis nicht betroffen. Sie gelten als Kritische (IT-)Infrastrukturen nach der "Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz, BSI-Kritisverordnung - BSI-KritisV" und werden als solche besonders gesichert. Ergänzend sei hinzugefügt, dass das Schutzziel hierbei die Leichtigkeit des Verkehrs als "Medium" gesellschaftlicher und wirtschaftlicher Prozesse ist. Der Schutz der körperlichen Unversehrtheit als Schutzziel mit Grundrechtsrang ist hier insofern obsolet, als verkehrstechnische Anlagen grundsätzlich so ausgelegt sind, dass bei Ausfall von Anlagen durch technische Störungen oder Stromausfall ein betriebssicherer Zustand gewährleistet bleibt, in der Regel durch verringerte Leistungsfähigkeit an den entsprechenden Knotenpunkten und hierdurch erzwungene langsamere Geschwindigkeiten des Kraftfahrzeugverkehrs. Energieversorgung Hinsichtlich des Schutzes der Energieversorgung ist festzuhalten, dass die IT-Systeme zur Überwachung und Steuerung der Versorgungsnetze im Netzgebiet der NRM Netzdienste Rhein-Main GmbH den Anforderungen der Bundesnetzagentur entsprechen. Sie sind entsprechend gesetzlicher Vorgaben nach § 11, Absatz 1a Energiewirtschaftsgesetz zertifiziert. Darüber hinaus unterliegt die IT- und Systemsicherheit der Energieversorgung einer kontinuierlichen internen Revision. Wasserversorgung Als Vorlieferant der Mainova und Dienstleister für das Lastmanagement betreibt Hessenwasser die entsprechenden IT-Systeme für das Trinkwasserverteilungsnetz, NRM, in Frankfurt. Zu deren Absicherung hat Hessenwasser als Betreiber einer kritischen Infrastruktur gemäß der Verordnung zur Bestimmung kritischer Infrastrukturen, KRITIS-VO, ein eigenes Sicherheitsmanagementsystem nach den Vorgaben des IT-Sicherheitsgesetzes aufgesetzt. Dieses Managementsystem wurde im Jahr 2018 erfolgreich extern auditiert. Alle zwei 2 Jahre werden diese Prüfungen wiederholt. Die Ergebnisse werden dem Bundesamt für Sicherheit in der Informationstechnik übermittelt.