CyberSecurity-Verbund LSA II - Identity, Access and Trust Management/Infrastructure

Vorhaben und Gesamtziel

Projektleiter Prof. Dr. Hermann Strack von der Hochschule Harz, Fachbereich Automatisierung und Informatik, koordiniert dabei den CyberSecurity-Verbund LSA II mit den beiden Universitäten als Forschungsverbund, gefördert jeweils im Programm „Sachsen-Anhalt WISSENSCHAFT Forschung und Innovation (EFRE)“. Grundlegend ist dabei die Kompatibilität zur Regionalen Innovationsstrategie RIS und zur Digitalstrategie 2030 des Landes Sachsen-Anhalt, in den Querschnittsbereichen Kommunikations- und Informationstechnologien (IKT) mit profilierten Anwendungsbezügen der Forschungen der Partner im Bereich Sicherheit.

Ziel der Hochschule Harz ist die Erforschung neuer Ansätze für sicherheitstechnische Verbundstrukturen in den Bereichen Identitäts-, Zugriffs- und neue Vertrauenswürdigkeits-Kontrollen mit hohem Sicherheitsniveau. Neben Weiterentwicklungen und Integrationen aus dem Vorgängerprojekt "CyberSecurity-Verbund (I)" sowie der Berücksichtigung neuer Regulierungen und Standards wie NIS2 (EU) oder eIDAS 2.0/EU-Wallet stellt insbesondere der technische Verbund zwischen verschiedenen Schichten/Ebenen der Anwendungs-, Middleware-/Web- und Netz-Infrastruktur eine besondere Herausforderung dar.

Ausgangslage

In den vergangenen Jahren ist sowohl die Quantität als auch die Qualität von Bedrohungen und Angriffen im Cyberraum signifikant angestiegen. Dies wurde unter anderem durch Hinweise von Bundesbehörden wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem Bundeskriminalamt (BKA) bestätigt. Der aktuelle IT-Vorfall bei der Firma CrowdStrike zeigt dabei mit seinen weltweiten Auswirkungen einmal mehr, wie wichtig in sensiblen Infrastrukturen und Anwendungen vertrauenswürdige und gleichzeitig redundante Sicherheitsservices ohne Monokulturen sind – „mehrfach hält besser, dabei geprüft umso mehr“, so Prof. Dr. Strack.

Gleichzeitig werden bei Dritten Sicherheitskomponenten und -verfahren mit hohen Sicherheitsniveaus erforscht, mit Demonstratoren entwickelt und zum Teil auch bereits für erste Integrationen vorbereitet. An dieser Stelle soll ein Ansatz verfolgt werden, der darauf abzielt, Forschung und Entwicklung sowie Integrationen für die Cyber-Sicherheit gezielt voranzutreiben und für KMU, Kommunen und öffentliche Einrichtungen nutzbar zu machen. Dabei ist auch eine Einbeziehung geeigneter Multiplikatoren vorgesehen.

Aktuelle Entwicklungen

Für hohe Ansprüche, insbesondere im Bereich der Identifizierung, Authentisierung, Autorisierung und Zugriffskontrolle, stehen innovative Sicherheitsverfahren zur Verfügung, die zum Teil bereits heute mit krypto-basierten Sicherheitshardware-Komponenten untersetzt sind. Beispielhaft seien hier EU-weite persönliche Authentifizierungen mit der eID des Personalausweises oder analog mit eIDAS-1.0-konformen Ausweisen der Sicherheitsstufe "hoch" aus notifizierten EU-Mitgliedsstaaten genannt. In EU-Projekten befinden sich die EU-Wallets (EUDIW) sowie deren nationale Pendants in Spezifikation bzw. Entwicklung. Diese ermöglichen Inhabern (Bürger oder Institutionen) weitere Anwendungsfelder mit hohem Sicherheitsniveau, beispielsweise die Beantragung/ die Entgegennahme, Verwaltung und datenschutzkonforme Nutzung sogenannter "Attestations" (d. h. beglaubigte kryptographisch gesicherte Bescheinigungen Dritter, wie von Behörden, Hochschulen, Dienstleistern …) künftig nach EU-weiten Standards. Aktuell wird für grenzübergreifende Verwaltungsverfahren in der EU für Bürger und Unternehmen die Single-Digital-Gateway (SDG)-Verordnung weiter umgesetzt mit Portalen nach dem Once-Only-Prinzip (OOP), welches mit Zustimmung der Stakeholder verbesserte Verwaltungsservices für diese ermöglicht durch elektronische Einbindung bereits vorher transferierter Stakeholder-Daten durch die Behörden. Für diese Vereinfachungen durch Behördenzuarbeiten für verbesserte Serviceorientierung für Nutzer werden in der EU, als auch in den EU Mitgliedsstaaten zugeordnete Once-Only-Technical-Systems (OOTS), sowie verbundene nationale National-Once-Only_Technical-Systems (NOOTS) aufgebaut unter Einbindung von elektronischen Registern, zusätzlich später auch mit EU-Wallet-Anbindungen für Verwaltungsportale. In Deutschland wird dies durch Gesetze zur Registermodernisierung und deren technische Umsetzungen unterstützt.

Vorprojekte und Vorergebnisse

In Vorprojekten des CyberSecurity-Verbunds I, sowie weiteren, wurden bereits wesentliche Vorarbeiten geleistet, auch für die Nationale Bildungsplattform/Mein Bildungsraum (BMBF). Dazu zählen Anwendungen, wie eID/eIDAS-gebundenen virtuellen (Hochschul-/Verwaltungs-) Konten eProSecal als Basis zur für eID/eIDAS basierte Prozesse, wie z. B. eNotar, eInternship und YourCredentials. eNotar bietet dabei die Möglichkeit eine beglaubigte elektronische Kopie eines Dokuments z. B. eines Zeugnisses zu erstellen, YourCredential erlaubt dies für Identitätstoken und zugeordnete Attribute. Mit eInternship kann sowohl das Anmeldeverfahren bei der Hochschule, als auch die vertragliche Seite zwischen Praktikumsbetrieb und Studierenden eines Hochschul-Pflichtpraktikums gesichert und schriftformersetzend (eIDAS-basiert) abgebildet werden. An dem Prozess sind dabei neben dem Studierenden sowohl Behörden (Hochschule), als auch Unternehmen (Praktikumsbetrieb) beteiligt. All diese Prozesse erfordern eine Identifikation der Beteiligten auf hohem Vertrauensniveau, als auch qualifizierte Signaturen für die Vertragsseite. Es ergeben sich durch neue Verbundstrukturen weitere Möglichkeiten zur gesicherten Prozessdigitalisierung.

Nach einer Idee von Prof. Strack wurden Grund-Konzepte für dezidierte Trust-Management-Verfahren mittels neuartiger Trustsistor-Komponenten entwickelt und erste technische Begleituntersuchungen zur Netzintegration durchgeführt.

Planung

Im Rahmen des neuen Projekts ist vorgesehen, sowohl personalisierte Komponenten wie Wallets/Nutzerkonten als auch Infrastruktur-Bausteine wie Netz- und Plattform-Komponenten Demonstratoren weiter zu entwickeln und im technischen Verbund zu integrieren. Dadurch sollen souveränitätsunterstützende Möglichkeiten für digitale (automatisierte) Vertrauenswürdigkeitsprüfungen und -kontrollen von IT-Umgebungen geschaffen werden. Der Fokus liegt auf der Erweiterung von Umgebungen/Strukturen, beispielsweise für protokollintegrierte Trust-Inspektions- und Kontroll-Verfahren, welche über heute anstehende Innovationen wie Zero-Trust-Verfahren hinausgehen. Neuartige Verbundstrukturen werden auch im methodischen Bereich durch strukturierte Kopplungen von „Security by Design“- Entwicklungsmethodik und „Security/Trust-Management“ verfolgt.

Ausstattung und Erweiterungen

In Vorprojekten bei Prof. Strack wurden erstmals eID- und eIDAS-Erweiterungen für Hochschulverfahren entwickelt und mit Studierenden erprobt, auf Basis entsprechender Laborausstattungen.

Für das neue Projekt soll die vorhandene Laborausstattung erweitert werden. Wichtige Gesichtspunkte sind entsprechend des Projektprofils dezidierte Verbunde von Sicherheitshardware und Sicherheitsservices verbunden mit Sicherheits- und Trust-Management sowie Tests aufzubauen.

Anwendungsbereiche

Anwendungsbereiche für die Projektentwicklungen liegen im Bereich Hochschulen und Bildungswesen, eGoverment und Verwaltung, IT-Provider, Wirtschaft insbesondere KMU, KRITIS-Anwendungs- sowie –Infrastrukturbereiche und auch für Zertifizierungen mit neuen Services, auch in Zusammenarbeit mit Multiplikatoren, Communities und Verbänden.

Förderung und Strategien

Die Hochschule Harz erhält für ihr Forschungsprojekt „CyberSecurity-Verbund LSA II - Identity, Access and Trust Management/Infrastructure“ circa 2,3 Millionen Euro aus dem Europäischen Fond für Regionale Entwicklung (EFRE), finanziert von der Europäischen Union und vom Land Sachsen-Anhalt. Dies erhöht die Drittmittel-Volumina hauptsächlich aus EU-/EFRE-Mitteln (sowie Bund, LSA) für Projekte rund um Sicherheit und Anwendungen der letzten ca. 7 Jahre bei Prof. Strack (u.a. erstmals mit eIDAS eID 1.0) auf mehr als 3,5 Millionen Euro und zählt damit zu einem der drittmittelstärksten Bereiche. Dadurch wird ein wichtiger Beitrag zur Realisierung strategischer Ziele der Regionalen Innovationsstrategie sowie der Digitalstrategie 2030 des Landes Sachsen-Anhalt bei, insbesondere im Bereich IKT, wissenschaftlicher Schwerpunkte und Kompetenzzentren/Netzwerke geleistet. Darüber hinaus wird die Umsetzung der Digitalstrategie 2030 LSA sowie innovativer nationaler und EU-weiter Regulierungsmaßnahmen wie OZG, Registermodernisierung, eIDAS 2.0, SDG und NIS2 für Bürger, Unternehmen und Verwaltungen unterstützt.

Arbeitsfelder

Die Arbeitsfelder der Hochschule Harz erstrecken sich dabei von der Analyse und Forschungszieldefinition, Modellierung, Methoden und Konzept-Forschung im Bereich IAM und Trust-Management/-Infrastrukturen sowie Forschung und Innovationsentwicklung zu Anwendungsbezügen mit Forschungs-Demonstratoren mit hohem Sicherheitsniveau, Forschungskommunikation, wissenschaftliche Kooperation, Öffentlichkeitsarbeit bis hin zur Koordination des CyberSecurity-Verbundes LSA II. Als Arbeitsfelder des Gesamtverbundes sind dabei gesetzt: Forschung und Vernetzung, Forschung und interne und externe Prozessgestaltung und Optimierung, Symbiose der Kompetenzen der Partner und Forschungsansätze zur Verstetigung, Aufnahme externer Anforderungen, Öffentlichkeitsarbeit und Beratung externer Stakeholder auf Basis der angewandten Forschung.

Arbeit im CyberSecurity-Verbund LSA II

Die Hochschule Harz arbeitet auch in diesem Projekt in bewährter Form auf Basis des CyberSecurity-Verbund LSA (II) Verbundes mit den Partnern der Martin-Luther-Universität Halle-Wittenberg und der Otto-von-Guericke-Universität Magdeburg arbeitsteilig zusammen. Dabei übernimmt die Hochschule Harz neben ihren Forschungsaufgaben die Verbundkoordination. Die Förderung aller drei Projektpartner erfolgt aus Mitteln des Europäischen Fond für Regionale Entwicklung (EFRE), finanziert von der Europäischen Union und vom Land Sachsen-Anhalt.