Von Compliance zu Resilienz

NIS2
Die EU‑Richtlinie zur Netzwerk- und Informationssicherheit NIS2 verschärft die Anforderungen für Betreiber kritischer Infrastrukturen sowie wichtiger digitaler Dienste. Unternehmen müssen Sicherheitsrisiken künftig proaktiv erkennen, dokumentieren und melden. Axis unterstützt Partner und Betreiber dabei mit einer ganzheitlichen Sicherheitsarchitektur, die sowohl die Netzwerk- als auch die Geräteebene einbezieht. Das erhöht die Transparenz für Audits, erleichtert die Erfüllung regulatorischer Vorgaben, stärkt das Vertrauen und verbessert die Resilienz der gesamten Infrastruktur.

KRITIS
Das KRITIS-Dachgesetz ist die deutsche Umsetzung von zwei EU-Richtlinien: der CER-Richtlinie (physische Resilienz) und der NIS2-Richtlinie (Cybersicherheit). Ihre Zusammenfassung konzentriert sich auf den CER-Aspekt. Axis-Technologien sind für beide Säulen fundamental, da sie sowohl physische Vorfälle erkennen als auch durch gehärtete Geräte und sichere Netzwerkintegration zur Cybersicherheit beitragen. Darüber hinaus ermöglichen sie eine ganzheitliche Sicherheitsarchitektur, die sowohl die physische als auch die digitale Ebene berücksichtigt. Betreiber kritischer Infrastrukturen profitieren dadurch von erhöhter Transparenz, besserer Auditierbarkeit und einer stärkeren Erfüllung regulatorischer Anforderungen.

CRA
Der Cyber Resilience Act stärkt die Verantwortung von Herstellern für die Cybersicherheit digitaler Produkte. Sicherheit wird damit verbindlich bereits in der Entwicklung verankert und über den gesamten Produktlebenszyklus durch Schwachstellenmanagement, Dokumentation und regelmäßige Updates sichergestellt. Während Regelwerke wie die NIS2‑Richtlinie und die CER‑Richtlinie Anforderungen an Betreiber kritischer Infrastrukturen definieren, legt der CRA fest, welche Sicherheitsanforderungen die eingesetzten Produkte erfüllen müssen. Technologieanbieter unterstützen Betreiber und Partner dabei, diese Anforderungen umzusetzen und resiliente Sicherheitsinfrastrukturen zu schaffen.

Frage 1: Welche spezifischen Angriffsvektoren sind für Videosicherheitssysteme in KRITIS-Infrastrukturen besonders relevant, und wie können Betreiber wirksam dagegen vorgehen?

Antwort 1: Videosicherheitssysteme in KRITIS-Umgebungen sind vielfältigen Bedrohungen ausgesetzt – von physischer Manipulation bis hin zu komplexen Cyberangriffen. Besonders relevant sind folgende Angriffsvektoren:

• Ungesicherte Kameras und NVR’s: Schwache oder unveränderte Standardpasswörter, fehlerhafte Konfigurationen und ungepatchte Firmware bieten einfache Einfallstore.
• Netzwerkschwachstellen: Unverschlüsselte Datenübertragung, fehlende Netzwerksegmentierung oder unsichere Protokolle ermöglichen Abhören, Manipulation oder das Einschleusen von Schadsoftware (Malware).
• Manipulation von Videodaten: Das Verfälschen, Löschen oder Verhindern von Aufzeichnungen, um Vorfälle zu vertuschen oder die Lage falsch darzustellen.

• Denial-of-Service (DoS)-Angriffe: Überlastung von Kameras, NVRs oder Video-Management-Systemen (VMS), um Überwachungsfunktion gezielt außer Kraft zu setzen.

   

  Maßnahmen zur Begegnung:

• Systemhärtung: Verwendung starker, individueller Passwörter, Deaktivierung nicht benötigter Dienste, regelmäßige Firmware-Updates sowie Verschlüsselung der Kommunikation (z.B. HTTPS, SRTP).
• Netzwerksegmentierung: Isolierung des Videosicherheitsnetzwerks von Produktions- und IT-Systemen, um Angriffsflächen zu minimieren.
• End-to-End-Verschlüsselung: Durchgängige Verschlüsselung der Videoströme von der Kamera bis zur Speicherung und Wiedergabe.
• Integritätsprüfung: Einsatz von digitalen Signaturen oder blockchainbasierter Hashes, um die Authentizität und Unverfälschtheit von Videobeweismitteln zuverlässig nachzuweisen.

Frage 2: Welche Bedeutung haben Audit-Logs für Videosicherheitssysteme in KRITIS-Umgebungen, und wie tragen sie zur Stärkung der Resilienz bei? Welche Informationen sind dabei besonders relevant?

Antwort 2: Audit-Logs sind ein essenzielles Element von Videosicherheitssystemen, da sie als "Sensor" alle relevanten Ereignisse protokollieren und so Nachvollziehbarkeit sowie forensische Analysen ermöglichen. Sie stärken die Resilienz, indem sie:

• Anomalien aufdecken: Ungewöhnliche Zugriffe, Konfigurationsänderungen oder fehlgeschlagene Anmeldeversuche weisen frühzeitig auf Angriffe oder Fehlfunktionen hin.
• Compliance sicherstellen: Dokumentation, dass Sicherheitsprozesse eingehalten wurden (z.B. Vier-Augen-Prinzip bei Exporten).
• Vorfallsreaktion unterstützen: Schnelle Identifizierung von Ursache und Ausmaß eines Sicherheitsvorfalls.

Besonders relevante Informationen in Audit-Logs:

• Zugriffe: Dokumentation darüber, wer zu welchem Zeitpunkt auf welche Kamera oder Aufzeichnung (live oder archiviert) zugegriffen hat.
• Konfigurationsänderungen: Zeitpunkt und Verantwortliche für Änderungen an VMS oder Kameras.
• Systemereignisse: Start/Stop von Diensten, Fehler bei der Speicherung, Netzwerkausfälle, Hardwaredefekte.
• Exportvorgänge: Nachweis,  von wem welche Videosequenzen wann exportiert wurden.
• Authentifizierung: Erfolgreiche und fehlgeschlagene Login-Versuche.

Frage 3: Warum ist eine durchdachte Long-Term Support (LTS)-Strategie für Videosicherheitssysteme in KRITIS-Infrastrukturen unverzichtbar, und welche Herausforderungen ergeben sich, wenn diese fehlt? Bitte berücksichtigen Sie bei dieser Überlegung auch den TCO-Aspekt.

Antwort 3: Eine LTS-Strategie ist in KRITIS-Umgebungen entscheidend, da Videosicherheitssysteme häufig über viele Jahre oder sogar Jahrzehnte betrieben werden. LTS gewährleistet:

• Kontinuierliche Sicherheit: Regelmäßige Sicherheitsupdates und Patches schließen neu entdeckte Schwachstellen. Ohne LTS bleiben Systeme dauerhaft angreifbar.
• Systemstabilität und Kompatibilität: Sicherstellung der Kompatibilität zwischen Hardware, Software und Betriebssystemen über lange Zeiträume hinweg.
• Planungssicherheit und Investitionsschutz: Betreiber können den Lebenszyklus ihrer Systeme zuverlässig planen und unerwartete Neuinvestitionen vermeiden.
• TCO-Aspekt (Total Cost of Ownership): Ein strategischer LTS-Ansatz reduziert maßgeblich die Gesamtbetriebskosten (TCO) über den gesamten Lebenszyklus des Systems hinweg. Planbare Updates, Support und die Verlängerung der Nutzungsdauer verhindern kostenintensive Ad-hoc-Migrationen oder vorzeitigen Austausch. LTS ermöglicht ein effizientes Ressourcenmanagement, indem es das Risiko unerwarteter Ausgaben für Reparaturen oder Sicherheitsvorfälle senkt und eine präzise Budgetplanung ermöglicht.
   

Herausforderungen ohne LTS (und Auswirkungen auf den TCO):

• Erhöhtes Sicherheitsrisiko: Veraltete Software ohne Sicherheitsupdates ist ein leichtes Ziel für Cyberangriffe. Die Kosten für die Behebung eines Sicherheitsvorfalls (Schadensersatz, Bußgelder, Reputationsverlust und Wiederherstellung) können den TCO massiv in die Höhe treiben.
• Betriebsinstabilität: Inkompatibilitäten und mangelnde Fehlerbehebungen führen zu Systemausfällen, deren Behebung hohe Personal- und Wiederherstellungskosten verursacht.
• Ersatzteilbeschaffung und Wartungsprobleme: Schwierigkeiten bei der Beschaffung von Ersatzteilen oder der Inanspruchnahme von technischem Support führen zu längeren Ausfallzeiten und höheren Kosten für spezialisierte Dienstleister.
• Hohe ungeplante Migrationskosten: Plötzliche, ungeplante Systemablösungen aufgrund von Obsoleszenz sind oft deutlich teurer und aufwendiger als geplante Migrationen. Sie erfordern zusätzliche Budgets und verursachen zusätzliche Kosten für Personal, Implementierung und eventuelle Betriebsunterbrechungen – mit massiven Auswirkungen auf den TCO.

Frage 4: Welche Aspekte sind während der Nutzungsphase von Videosicherheitssystemen in KRITIS entscheidend, um die praktische Resilienz zu gewährleisten und aufrechtzuerhalten?

Antwort 4: Die Nutzungsphase ist die längste und zugleich kritischste Phase im Lebenszyklus eines Videosicherheitssystems. Die praktische Resilienz wird hier durch folgende Maßnahmen gewährleistet:

• Regelmäßige Wartung und Überwachung: Proaktive Prüfung der Systemfunktion, Speicherkapazitäten und Netzwerkverbindungen.
• Patch- und Update-Management: Konsequente Einspielung von Sicherheits- und Funktionsupdates, um bekannte Schwachstellen zu schließen und die Systemleistung zu optimieren.
• Backup- und Wiederherstellungsstrategien: Regelmäßige Backups der Konfigurationen und VMS-Datenbanken sowie erprobte Wiederherstellungspläne im Falle eines Ausfalls.
• Personal-Schulung und Sensibilisierung: Kontinuierliche Weiterbildung und Schulung des Bedienpersonals zu aktuellen Bedrohungen, korrekter Systembedienung und Incident-Response-Prozessen.
• Proaktive Auswertung von Audit-Logs: Nicht nur Sammlung, sondern aktive Analyse und Auswertung tragen dazu bei, Anomalien frühzeitig zu erkennen.
• Notfallpläne: Klare Verfahren für den Umgang mit Systemausfällen, Datenverlust oder Cyberangriffen, inklusive alternativer Überwachungsmöglichkeiten.

Frage 5: Wie integrieren sich Videosicherheitssysteme in ein konvergentes Sicherheitskonzept für KRITIS-Infrastrukturen, und welche Vorteile ergeben sich daraus im Sinne der praktischen Resilienz?

Antwort 5: In KRITIS-Umgebungen ist konvergente Sicherheit der Schlüssel zu umfassender Resilienz. Videosicherheitssysteme sind dabei keine Insellösungen, sondern ein integraler Bestandteil eines übergreifenden Sicherheitsrahmens. Die Integration erfolgt typischerweise mit:

• Zutrittskontrollsystemen: Automatische Videoaufzeichnung bei Zutrittsereignissen oder Alarmen, visuelle Verifikation von Personen.
• Einbruchmeldeanlagen (EMA): Video-Verifikation von EMA-Alarmen, um Fehlalarme zu reduzieren und Einsatzkräfte zielgerichteter zu steuern.
• Gefahrenmeldeanlagen (z.B. Brandschutz): Visuelle Überprüfung von Brandalarmen oder Rauchentwicklung.

• SCADA/Leitsystemen: Korrelation von Prozessdaten mit Videobildern zur Analyse von Vorfällen und Überwachung kritischer Infrastrukturkomponenten.

   

Vorteile für die praktische Resilienz:

• Verbessertes Situationsbewusstsein: Ein ganzheitlicher Blick auf Sicherheitsereignisse durch die Verknüpfung verschiedener Sensordaten.
• Effizientere Vorfallsreaktion: Automatisierte Reaktionen und die schnelle Bereitstellung relevanter visueller Informationen ermöglichen eine präzisere und schnellere Entscheidungsfindung.
• Reduzierung von Fehlalarmen: Visuelle Verifikation minimiert unnötige Einsätze und spart Ressourcen.
• Optimierung von Arbeitsabläufen: Zentralisierte Überwachung und Steuerung aller Sicherheitssysteme.
• Erhöhte Nachweisbarkeit: Videoaufzeichnungen in Kombination mit anderen Daten liefern eine stärkere Beweisgrundlage.
• Proaktive Sicherheit: Intelligente Datenverknüpfung ermöglicht das Erkennen von Mustern und die frühzeitige Identifikation potenzieller Bedrohungen.