Abonnieren Sie unseren NEWSLETTER

Global Security Mag: Würden Sie sich kurz für unsere Leser vorstellen?

Arnold Krille: Hallo erstmal! Ich bin Arnold Krille, Strategic Sales Manager bei Genua.

Daniel Herzinger: Ich bin Daniel Herzinger, und forsche bei Genua zum Thema Post-Quanten-Kryptographie.

Martina Hafner: Martina Hafner, zuständig für die Pressearbeit bei Genua.

AK: Die Genua GmbH wurde vor mehr als 30 Jahren gegründet, seit 2020 sind wir zu 100 % Tochter der Bundesdruckerei-Gruppe. Unter anderem geht es dort um Identitätspapiere. Mittlerweile haben physische Identitätspapiere alle eine digitale Komponente, die geschützt werden muss. Und das ist das, was wir bei Genua machen.

60 % unseres Umsatzes machen wir im Behördenmarkt, d.h. Bundesbehörden und angeschlossene Organisationen, die Geheimschutz machen. Wir haben Kunden wie etwa den deutschen Bundestag und den Bundeswahlleiter und leisten hier einen Beitrag zur Demokratie. Außerdem gibt es Kunden, die sehr hohe Sicherheitsanforderungen haben. Für uns kommt es also auf Zertifizierungen und Zulassungen unserer Produkte an. So ziemlich alle unsere Produkte gibt es in einer für Verschlusssachen (bis VS-NfD) zugelassenen Version. Unsere vs-diode für ausgewählte Kunden ist bis „geheim“ zugelassen, also noch 2 Stufen höher. Kunden sind unter anderem auch das LKA, das BKA, die Bundeswehr und auch das Auswärtige Amt.

Wir betreiben viel Forschung, sowohl was die Post-Quanten-Kryptographie angeht, als auch das VERSECLOUD-Projekt zur sicheren Cloudumgebung. Denn wir sehen natürlich, dass immer mehr in der Cloud passiert, auch bei den Verwaltungen. Im geheimschutzbetreuten Bereich ist die Frage zum Beispiel ’Wie kann ich Verschlusssachen in einer Cloud bearbeiten, in der auch Zivilkunden irgendwelche VMs betreiben? Wie kriegt man das abgesichert?’ Solche Fragestellungen sind dann interessant, ähnlich wie bei AI-NET-Protect, wo es aber mehr um Zero-Trust geht und um Automatisierung in den Netzwerken.
Wintermute ist ein weiteres Projekt, das ich in der Vergangenheit betreut habe. Dabei geht es um KI und Cybersecurity, mit dem Ziel eine intelligente Firewall zu kreieren.

Auch in der Open-Source-Community sind wir sehr aktiv. Letztendlich basieren unsere Produkte auf Open Source. Wir beteiligen uns recht stark bei OpenBSD und OpenSSH, eine der Grundanwendungen zur sicheren Kommunikation.

GSM: Wie kommt die Spezialisierung von Genua zustande?

AK: Bei Genua gab es von Anfang an ein Streben nach Hochsicherheit, die Gründer waren schon immer gut vernetzt mit dem BSI, das ungefähr zur gleichen Zeit entstanden ist. Es gab also schon immer den Gedanken an eine sichere Infrastruktur und an den Bau von sicheren Produkten. Daher haben wir auch schon lange zertifizierte und zugelassene Produkte.

GSM: Was bedeutet das Label ’IT Security made in Germany’ für Genua?

AK: Dieses Label ist im Prinzip eine Selbstverpflichtung. Für uns ist das etwas, das wir sowieso schon immer gemacht haben. Unsere Software ist in Deutschland entwickelt, es gibt keine Backdoors, etc.
Dank unserer Zertifizierungen und Zulassungen im geheimschutzbetreuten Bereich mussten wir nichts ändern, um unter dieses Label zu fallen. Ähnlich ist es, wenn man an den Cyberresilience Act denkt, der ein einheitliches Level bei CS-Produkten schaffen und CE-Kennzeichnungen auch mit Securityanforderungen verknüpfen soll. Wir sind schon so weit, Stichwort Security by design und Security by default, aber wir finden es natürlich super, dass auch andere zukünftig über CE-Kennzeichnungen regelmäßige Securityupdates garantieren müssen.

NIS2 ist da interessanter, weil wir für geheimschutzbetreute Industrie arbeiten, weil wir für KRITIS-Unternehmen arbeiten, weil wir auch selber von Größe und Umsatz da reinzupassen und weil es dementsprechend ein paar Sachen gibt, die uns berechtigterweise reglementieren werden. Gefordert wird auch eine ISO 27001 oder vergleichbar für das eigene Informationssicherheits-Managementsystem. Die haben wir inzwischen auch.

MH: Wichtig ist auch, was man unter dem Begriff ’Digitale Souveränität’ kennt. Die Frage ist doch, ob man abhängig bleiben will oder ob Deutschland unabhängig bleibt und selbst Schlüsseltechnologien entwickelt, z.B. durch Forschungsprojekte. Wir setzen auf Open Source, da gibt es mehr Möglichkeiten den Quellcode anzuschauen und zu sehen wie sicher er ist, wir haben zum Teil FGPA-Projekte, bei denen wir selbst Hardware entwickeln, um Backdoors auszuschließen. Ich weiß, was ich verkaufe, ich weiß, dass es sicher ist, ich kann das nachweisen, es ist zugelassen, es ist zertifiziert, das BSI hat draufgeschaut und es ist alles in Deutschland entwickelt – das alles ist für mich ’Made in Germany’.

DH: Für mich ist auch das Thema, dass andere Länder, wie zum Beispiel die USA eine Legislatur haben, die eine gewisse Kooperation von Sicherheitsherstellern mit Behörden vorschreibt.
In Deutschland haben wir die Freiheit, wirklich sichere Produkte zu entwickeln.

GSM: Wie sieht die aktuelle Forschung bei Genua aus:

DH: Thema AMiQuasy: Wir haben schon verschiedene Forschungsprojekte zum Thema Post-Quanten-Kryptographie gehabt, das erste 2015. Damals war die Frage: Was passiert, wenn jemand einen leistungsstarken Quantencomputer hätte, mit dem er die kryptographischen Verfahren, auf die wir momentan setzen, bricht? Der Quantencomputer ist nicht unbedingt schneller, aber er kann andere Algorithmen rechnen, wodurch manche Verfahren nicht mehr sicher wären.

Wir brauchen für unsere Protokolle, für einen VPN oder für egal was, verschiedene kryptographische Verfahren, die man zusammenbaut, damit am Ende ein Protokoll funktioniert. Für manche Bausteine haben wir aktuell keinen Ersatzbaustein, für die Situation, dass ein Quantencomputer zum Einsatz käme. Lange war das Ganze kein Thema, dann kam Snowden und ab da war es ein sehr großes Thema. Ab da waren Forschungsgelder da und wir haben unsere Bemühungen in dem Bereich noch intensiviert. Wir haben den ersten RFC mitgestaltet. Dabei ging es um Signaturverfahren. Der Gedanke war folgender: Wenn jemand einen Quantencomputer hätte, könnten wir nicht einmal mehr sichere Software ausliefern – auch nicht an die Geräte, die im Feld sind – weil jemand anders sie manipulieren und die Signaturen fälschen könnte und das für uns nicht mehr erkennbar wäre. Deshalb haben wir also diesen ersten Standard entworfen, der das unterbinden kann. Seit 2017 ist die Software, die wir ausliefern, durch quantensichere und auch klassische Signaturverfahren geschützt.
Danach haben wir uns mit quantensicheren VPN beschäftigt. Das war das nächste Forschungsprojekt.

Mittlerweile sind wir bei AMiQuaSy (Agile Migration auf quantenresistente Systeme), da geht es vor allem um die Migration. Wie schafft man es, eine komplexe Infrastruktur, wie ein Behörden- oder ein Firmennetz auf Post-Quanten-Kryptographie zu migrieren? Eine Infrastruktur, in der ja ganz viel Altsoftware und proprietäre Software zum Einsatz kommt, bei der überall kryptographische Verfahren eingebaut sind und viele Protokolle, die Legacy-Verfahren nutzen. Das ist natürlich wahnsinnig schwierig. Wir sehen das bei IPv6, seit über 20 Jahren in der Nutzung. Wir haben nicht so viel Zeit. Das BSI hat eine Arbeitshypothese, die davon ausgeht, dass 2035 jemand einen starken Quantencomputer hat. Die Zeit drängt. Deswegen ist dieses Thema so wichtig.

AK: Im Prinzip ist es schon zu spät. Man muss ja nicht nur die Kommunikation ab jetzt absichern, sonder auch alte, mit nicht quantenresistenten Verfahren verschlüsselte Dokumente, die dem Geheimschutz unterliegen. Sie sollen für 30 Jahre geheim bleiben, und zwar quantenresistent. Die Wahrscheinlichkeit ist relativ hoch, dass so ein Quantencomputer in den nächsten 30 Jahren kommt. Und ab diesem Moment sind solche Dokumente quasi gebrochen. Und wir dürfen nicht die Zeit der Umstellung und die Zeit zur Entwicklung der neuen Verschlüsselungsverfahren vergessen.

DH: Protokolle nutzen ja sowas wie Perfect Forward Secrecy. Daten werden also übertragen und die Idee ist, dass man, auch wenn später Schlüsselmaterial verloren geht, trotzdem eine bereits stattgefunden Übertragung nicht mehr entschlüsseln kann. Das beruht aber darauf, dass die Verfahren, die zum Schlüsselaustausch eingesetzt werden, halten. Das ist nicht mehr gegeben, wenn es einen Quantencomputer gibt. Dienste wie die NSA schneiden jetzt schon Daten mit, um nachträglich Verbindungen zu entschlüsseln und alle Dokumente, die jetzt über das Internet übertragen werden, dann entsprechend lesen zu können, sobald sie einen Quantencomputer haben. Wir können davon ausgehen, dass es mehrere Jahre dauert, bis eine Migration abgeschlossen ist und ab da fangen wir erst an, sicher zu verschlüsseln. Die Daten, die schon übertragen wurden, müssen aber noch 30 Jahre halten, und wir gehen davon aus, dass vielleicht 2035 schon ein Quantencomputer existiert, wir sind also eigentlich schon zu spät dran. Deswegen ist dieses Thema so wichtig und deswegen beschäftigen wir uns so intensiv damit.

Unser Projekt läuft seit April und wir arbeiten mit einem anderen mittelständischen Unternehmen, der Xitaso, und mit der OTH Amberg-Weiden zusammen und hoffen auf gute Erkenntnisse, um die Umsetzung der Migration beschleunigen zu können.

MH: Ein weiteres aktuelles Thema ist unsere Partnerschaft mit der Telekom zum Thema Fernwartung in der Industrie als Managed Service

AK: Der Grundgedanke bei der Fernwartung ist der folgende: Ich habe lokal eine Maschine irgendwo in der Anlage und netzwerktechnisch tief vergraben unter mehreren Schichten von Sicherheitsprodukten, Firewalls, etc. Diese Anlage soll für Wartungszwecke aus der Ferne bedient werden. Man kann jetzt sagen: ich geh da an den Rechner an der Anlage dran, installiere da TeamViewer und dann funktioniert das irgendwie. Das führt aber natürlich zu einer hochgradig unsicheren Lösung und Verbindungen nach irgendwo hin. Die Alternative ist, dass ich alle Firewalls aufmache, damit ich von außen Zugriff bis auf die Maschine habe. Dann kommt aber jeder andere auch durch die Firewalls. Am Ende habe ich Firewalls, die aussehen wie ein Schweizer Käse.

Deswegen haben wir eine sichere Fernwartungslösung entwickelt, das Ganze nennt sich Rendezvous-Lösung. Man trifft sich sozusagen in der Mitte, auf neutralem Boden. Konkret bedeutet das: Ein Gerät vor der Maschine, also vor dem fernzuwartenden Objekt baut eine sichere Verbindung zu einem Rendezvous-Server auf und der Fernwarter greift von seiner Seite aus auf diesen Server zu. Der Operator an der Maschine hat so die Kontrolle, kann entscheiden, wann die Fernwartung offen und wann sie gesperrt sein soll, kann zuschauen, was gerade gemacht wird. Man benötigt keine direkten Verbindungen bis zur Maschine, sondern die Maschine und der Fernwarter treffen sich auf dem Rendezvous-Server. Beide authentifizieren sich sicher und unterliegen Regelwerken, ob und zu welchen Zeiten sie Zugriff bekommen. Das führt zu einer sicheren Fernwartung.

Dieses Angebot haben wir schon seit ein paar Jahren. Die Herausforderung für manche Kunden ist nun, dass diese Rendezvous-Box betrieben werden muss. Zusammen mit der Telekom haben wir eine Lösung geschaffen, bei der Telekom nennt sich das MSIRAS. Unsere vertrauenswürdige Technologie wird also von der Telekom als vertrauenswürdiger Partner eingesetzt, um die Fernwartungsboxen, also die Boxen vor den Maschinen zu betreiben und somit die Rendezvous-Lösung als Managed Service anzubieten.

MH: Hier haben wir auch wieder das Thema Made in Germany. Zum Einsatz kommt eine deutsche Cloud und eine Fernwartungslösung von einem deutschen Anbieter, alles aus einer Hand. Die Telekom und Genua sind hier ein gutes Match und bedienen die, nicht zuletzt durch die gestiegenen Securityanforderungen, große Nachfrage nach Dienstleistungen im Securitybereich.

DH: Einer unserer größten Kunde bei dem Thema ist BMW. Dieser Kunde hat die Kapazitäten für eine eigene Infrastruktur, ihr eigenes Genua-Management-System. Wenn externe DienstleisterInnen auf Maschinen in den Produktionsstraßen zugreifen müssen, wird das über Genua-Produkte gelöst. Dabei wird ein Report generiert und es wird ganz eindeutig dokumentiert, wer wann auf welche Maschine zugegriffen hat, also genau das, was ein CISO wissen muss. Es gibt auch keinen Weg daran vorbei, weil irgendjemand irgendetwas über TeamViewer gemacht hat.

Kleinere Unternehmen wollen aber nicht noch eine eigene Infrastruktur aufziehen, kein System aufsetzen, Updates machen, usw. Dann ist die Telekom der ideale Partner.

GSM: Und schließlich…

MH: …wäre da noch unsere Beteiligung an der nächsten Generation der Gesundheitsinfrastruktur.
Die Gematik betreibt seit vielen Jahren die Telematikinfrastruktur 1.0 in Deutschland. Das ist im Prinzip ein zentrales geschütztes Netzwerk mit hardwaregesicherten sogenannten Konnektoren. Der Anspruch auf Datensicherheit ist bei personengezogenen Daten natürlich sehr hoch. Um in diesem Bereich einen sicheren und kosteneffizienten Betrieb ermöglichen zu können, der gleichzeitig nutzerfreundlicher wurden, hat Genua in einem Konsortium mit Frauenhofer AISEC und der CompuGroup Medical und in enger Zusammenarbeit mit der Gematik ein neues Konzept entworfen.

DH: Um als Arzt/Ärztin in Deutschland Zugriff auf sensible Patientendaten von verschiedenen Stellen wie z.B. Krankenkassen zu bekommen, geht der Weg aktuell über die Telematikinfrastruktur. Man braucht einen Konnektor, also im Prinzip einfach eine Box, kriegt dann eine Smart-Card und kann sich so verbinden. Es gibt viel Kritik, da das Ganze recht kompliziert ist.
Mittlerweile wird immer mehr Zero-Trust vorgeschrieben. Wir pushen diese neue Entwicklung, da es einfach eine zeitgemäßere Netzwerkinfrastruktur ist, gerade bei Systemen, an denen viele verschiedene Parteien beteiligt sind. Jetzt ging es also darum die Telematikinfrastruktur 2.0 zu schaffen und wir haben einen Entwurf dafür entwickelt, wie eine solche Infrastruktur aussehen könnte.

AK: Wir haben nicht nur das Konzept geschrieben, sondern auch gezeigt, dass es funktioniert. Es geht dann nicht mehr um Boxen, die alle eine Verbindung zu einer zentralen Stelle aufbauen, sondern jeweils Gateways vor den einzelnen Diensten, die angeboten werden, also vor Krankenhäusern, Krankenkassen, etc. Allerdings so strukturiert, dass der Arzt oder Patient nicht mehr für jeden Dienst einzeln einen Zugang braucht, sondern, dass ein zentraler Identitätsprovider ermöglicht, einfacher auf Daten zuzugreifen. Im Falle des Patienten ist das noch relativ simpel. Der Patient darf mit dem eigenen Gerät auf die eigenen Daten zugreifen.

Ein Arzt braucht aber Zugriff auf die Daten vieler Patienten. Deswegen gibt es dort eine zusätzliche Sicherheit und der Zugriff auf Daten wird nur von bestimmten Geräten gewährt, die sich auch authentifizieren müssen. Damit kann man sichergehen kann, dass der Arzt gerade ein vertrauenswürdiges Gerät verwendet und auch Berechtigungen aufheben. Vertrauenswürdiges Gerät = Zugriff auf alle Daten. Nicht vertrauenswürdiges Gerät = z.B. nur Zugriff auf den Kalender, damit der Arzt etwa aus dem Urlaub sehen kann, wann er die ersten Termine hat, mehr aber nicht. Dadurch, dass die Identität zentral verwaltet wird, gibt es auch die Möglichkeit, einen Zugang zentral für alle Dienste zu sperren, etwa im Falle eines securityrelevanten Vorfalls bei einem Arzt, infolgedessen seine Identität nicht mehr bestätigt werden kann. Der alte Ansatz ging nur über physische Boxen, bei Hausbesuchen konnte ein Arzt nicht auf Daten zugreifen. In Zukunft geht das. Hebammen, die nicht in einer Klinik arbeiten, machen quasi immer Hausbesuche. Für diese wäre es eine unglaubliche Erleichterung. Es werden nicht mehr die Arztpraxen angeschlossen, sondern der einzelne Nutzer.

DH: Das Ziel ist also, einen schnellstmöglichen Zugriff auf Daten und gleichzeitig ein sehr hohes Maß an Sicherheit zu gewährleisten. Das hat auch Auswirkungen auf ganz konkrete Situationen. So könnte ein Notarzt beispielsweise mit seinem vertrauenswürdigen Gerät schon sehen, ob ein Patient Blutgerinnungsstörungen hat und dementsprechend andere Maßnahmen ergriffen werden müssen. Das wüsste der Notarzt sonst nicht. Es gibt also viele Auswirkungen auf alltägliche Situationen und die Leben vieler Menschen.

GSM: Was ist abschließend Ihre wichtigste Botschaft für unsere Leser und/oder für CISOs?

AK: Wir meinen zu wissen, was CISOs für Herausforderungen und Probleme haben und unterstützen sie gerne, mit Produkten aber auch mit IT-Sicherheitsberatung nach IT-Grundschutz. Man kann nur das schützen, was man kennt.

DH: Man sollte sich ab jetzt auf eine Migration zu Post-Quanten-Verfahren vorbereiten, angefangen bei einer Inventarisierung, um herauszufinden, wo kritische und wo weniger kritische Systeme liegen und welche Software wo eingesetzt wird. Die Zeit drängt. Gerade die Schlüsselaustauschverfahren sind besonders relevant. Jeder Verantwortliche in dem Bereich sollte sich dessen bewusst sein und es sollten Möglichkeiten gesucht werden, gerade auch in sensitiven Bereichen, zu zukunftsfähigen Protokollen und Verfahren zu wechseln.