Bundesamt für Sicherheit in der Informationstechnik

Das Ziel des Projektes ist die Erstellung einer Technischen Richtlinie (TR) sowie einer Prüfspezifikation für die Wahlunterstützungssoftware (WUS) bei Schnellmeldungen im Rahmen von Bundestagswahlen. Diese Dokumente sollen verbindliche Anforderungen und Prüfverfahren definieren, um die Sicherheit, Zuverlässigkeit und Qualität der Software sicherzustellen und damit eine Grundlage für die spätere Zertifizierung zu schaffen. Weitere Projektziele sind die Sicherstellung der Kompatibilität der Wahlunterstützungssoftware mit den Anforderungen der Bundeswahlordnung und die Erhöhung des Vertrauens der Öffentlichkeit in den Wahlprozess durch verbesserte Softwarequalität. Auftragsgegenstand ist das konzipierte Projekt, welches aus vier Arbeitspaketen besteht: Zunächst erfolgt eine Auftaktbesprechung zur Abstimmung von Zielen, Rollen und Zeitplan. Dann soll eine Technische Richtlinie sowie eine Prüfspezifikation zur Wahlunterstützungssoftware erstellt, die funktionalen und sicherheitsrelevanten Anforderungen sowie konkrete Prüfverfahren definiert werden. Parallel dazu werden alle relevanten Stakeholder in einem Konsultationsprozess eingebunden, um Anforderungen und Feedback zu integrieren. Details sind der Leistungsbeschreibung (siehe Anlage) zu entnehmen.

Im Rahmen von zwei Arbeitsschwerpunkten (Arbeitsschwerpunkt C1 und Arbeitsschwerpunkt C2) wird mit der geplanten Studie das Ziel verfolgt, die Ergebnisse aus der Vorgänger-Studie SoVIT 1.0 (Projekt 448) zu vertiefen und zu erweitern und damit zusätzliche VS-Anforderungen an SDN-Architekturen (Systemebene) und SDN-Produkte (Produktebene) im VS-Kontext abzuleiten. Während bei der Vorgängerstudie SoVIT 1.0 der Schwerpunkt auf VS-IT-Systemen und SDN-Produkten lag, wird der Schwerpunkt der geplanten Studie (SoVIT 2.0) auf SDN-Architekturen und VS-Produkten liegen. Geplant ist, durch diese zusätzliche Perspektive die Ergebnisse aus SoVIT 1.0 zu vertiefen und zu erweitern. Insbesondere sind zusätzliche VS-Anforderungen an SDN-Architekturen (Systemebene) und SDN-Produkte (Produktebene) im VS-Kontext abzuleiten. In Schwerpunkt C1 werden unterschiedliche SDN-Architekturen und deren Verwendung im VS-Kontext untersucht. Auf Systemebene werden funktionale Anforderungen sowie VS-Anforderungen abgeleitet. In Schwerpunkt C2 werden zu den in C1 identifizierten SDN-Architekturen unterschiedliche Produktkonstellationen betrachtet, aus denen sich die jeweilige Architektur zusammensetzt. Auf Produktebene wird untersucht, (1) wie sich die in C1 ermittelten Anforderungen in den einzelnen Produkten wiederfinden und (2) welche zusätzlichen funktionalen Anforderungen und VS-Anforderungen auf Produktebene gestellt werden.

Das Projekt 634 „SiPra – Sicherheit von Praxisverwaltungssystemen“ hat den Anspruch, zunächst einen Überblick über die auf dem Markt befindlichen Praxisverwaltungssysteme (PVS) und deren technischen Eigenschaften (u.a. Funktionsumfang, Architektur, Sicherheitsmaßnahmen) zu geben. Im weiteren Verlauf des Projektes werden 4 PVS ausgewählt und anschließend umfassend technisch hinsichtlich der Sicherheit analysiert ((Penetrationstest, Fuzzing-Test, Ausführen von Schadcode, Einschleusen von Maleware). Die identifizierten Schwachstellen und Angriffsvektoren werden entsprechend dokumentiert und können als Basis für nachfolgende Projekte dienen, um die IT-Sicherheit bei den ambulanten Leistungserbringern zu ermöglichen.

Das Ziel des Projekts RACE-I ist die Erstellung einer Bedarfsanalyse und Machbarkeitsstudie für kryptographische RISC-V-Komponenten. RACE-I untergliedert sich in zwei Phasen. In Phase A liegt der Schwerpunkt einerseits auf der Analyse des Marktes und Bedarfs und andererseits auf die potentielle Anpassung bereits vorhandener RISC-V-Lösungen an kryptographische Vorgaben. In Phase B liegt der Schwerpunkt auf der Identifikation benötigter kryptographischer Extensions, Primitiven und Protokollen. Auf Basis dieser Identifikation wird der Ressourcenverbrauch schätzungsweise errechnet und anhand der Ergebnisse eine Auswahl von passenden RISC-V-Plattformen vorgeschlagen.

Die Betreiber eines öffentlichen Mobilfunknetzes der fünften Generation sind gemäß § 165 Abs. 4 TKG ab dem Jahr 2026 verpflichtet erstmalig eingesetzte kritische Komponenten durch das BSI oder vom BSI anerkannten Stellen zertifizieren zu lassen. Hierfür muss das BSI geeignete Vorgabendokumente erstellen bzw. erstellen lassen. Dies soll unter Beachtung bestehender Risikoanalysen und Vorgabendokumente gemeinsam mit Herstellern und Bedarfsträgern geschehen. In der BSI TR-03163 sind die zugelassenen Schemata für die Zertifizierung der kritischen Komponenten eines 5G-Mobilfunknetzes aufgeführt. Weiterhin legt die BSI TR-03163 fest, dass die Zertifizierung auf Grundlage von durch das BSI freigegebenen Anforderungsdokumenten erfolgen muss, welche in der Anlage der genannten Technischen Richtlinie vermerkt sind. Hier wird ersichtlich, dass sich das BSI einer Zertifizierungslücke gegenübersieht. Diese Lücke bestätigt sich mit den bereits identifizierten kritischen Komponenten der Mobilfunkbetreiber, welche dem BSI aus den gemeinsamen Gesprächen mit den Betreibern bekannt sind. Aus einem Mangel an Ressourcen ist es dem BSI allerdings nicht möglich, die noch fehlenden Vorgabendokumente mit eigenen Mitteln fundiert zu erarbeiten. Das Projekt besteht aus 14 Fachlosen im Sinne des § 97 Abs. 4 des Gesetztes gegen Wettbewerbsbeschränkungen (GWB). Die Fachlose sollen unabhängig voneinander bearbeitet werden. Im Rahmen dieser Ausschreibung werden die ersten 7 Lose (Lose 1 bis 7) vergeben. Die Vergabe der übrigen Lose erfolgt zu einem späteren Zeitpunkt im Rahmen separater Verfahren. Ziel dieses Verfahrens ist die Vergabe mehrerer Beratungsleistungen im Bereich der Erstellung geeigneter Vorgabendokumente um eine Zertifizierung der kritischen Komponenten im 5G-Umfeld nach BSZ und CC zu ermöglichen.

Das Tool Dependency-Track des Open Web Application Security Project (OWASP) stellt eine Datenbank für Software Bill of Materials (SBOMs) dar. Ziel des Projektes ist es, Dependency-Track so zu erweitern, dass Security Advisories und Vunerability Exploitability eXchange (VEX) im Format des Common Security Advisory Framework (CSAF) eingelesen und mit den vorhandenen SBOMs abgeglichen werden können und es ein CSAF-standardkonformes CSAF-SBOM-Matching-System ist. Durch den Abgleich der SBOMs auch gegen CSAF-Dateien soll es ermöglicht werden, Aussagen zu erhalten, ob und wie eine in der SBOM enthaltene Komponente von einer Schwachstelle betroffen ist. Dadurch lässt sich das Schwachstellenmanagement bei Herstellern und die Marktüberwachung (teil-)automatisieren.

Nach dem Gesetz zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen und der zugehörigen Kassensicherungsverordnung müssen elektronische Aufzeichnungssysteme seit dem 1.1.2020 mit einer Technischen Sicherheitseinrichtung (TSE) ausgestattet werden, welche die Absicherung der aufzuzeichnenden Daten (genauer die Integrität, die Authentizität und die Vollständigkeit) sicherstellt und die gesicherten Aufzeichnungen in einem einheitlichen Format speichert. Die detaillierten Interoperabilitätsvorgaben an die Technische Sicherheitseinrichtung werden vom BSI in der Technischen Richtlinie TR-03153 festgelegt. Diese und auch verwandte Technische Richtlinien werden fortlaufend angepasst und aktualisiert, beispielsweise in Form der TR-03153-1. Derzeit lässt das BSI einen TSE-Simulator weiterentwickeln, welcher auf der Vorgängerversion der TR-03153 basiert. Dieser TSE-Simulator, inklusive der vorgegebenen Einbindungsschnittstelle, verhält sich nach außen funktional wie eine TSE gemäß TR-03153. Der Simulator soll auch von Herstellern von Kassensoftware und Steuerprüfern für Tests (z.B. im Rahmen der Entwicklung) genutzt werden können. Um das korrekte Verhalten des TSE-Simulators zur TR-03153 zu überprüfen, soll eine anerkannte Prüfstelle nach TR-03153-TS bzw. TR-03153-1-TS, zur Durchführung einer entsprechenden Konformitätsprüfung beauftragt werden.

Das Projekt soll den Reifegrad vorhandener KI-Methoden und Daten in der Medizin untersuchen. Hierbei wird eine Recherche vorhandener Trainingsdaten, KI-Modelle, Standards und Normen, Methoden der KI-Explainability, KI-Sicherheit und Robustheit sowie gegebenenfalls vorhandener Prüfwerkzeuge durchgeführt und Anforderungen an KI-Modelle und Trainingsdaten ausgearbeitet, die einen sicheren und effizienten Betrieb ermöglichen sollen. Insbesondere wird die Robustheit von KI-Modellen und Trainingsdaten evaluiert und auf Basis der Ergebnisse wird ein umfangreiches Prüfwerkzeug zur Bewertung von KI-Modellen und Trainingsdaten entwickelt, welches von einer externen Prüfstelle evaluiert wird. Diese validierten Anforderungen und das Prüfwerkzeug sollen durch das BSI mit Unterstützung des Auftragnehmers in Standardisierungsgremien eingebracht werden. Der Auftragnehmer verfasst eine wissenschaftliche Studie, welche sämtliche Ergebnisse des Projektes beinhaltet.

Die Betreiber eines öffentlichen Mobilfunknetzes der fünften Generation sind gemäß § 165 Abs. 4 TKG ab dem Jahr 2026 verpflichtet erstmalig eingesetzte kritische Komponenten durch das BSI oder vom BSI anerkannten Stellen zertifizieren zu lassen. Hierfür muss das BSI geeignete Vorgabendokumente erstellen bzw. erstellen lassen. Dies soll unter Beachtung bestehender Risikoanalysen und Vorgabendokumente gemeinsam mit Herstellern und Bedarfsträgern geschehen. In der BSI TR-03163 sind die zugelassenen Schemata für die Zertifizierung der kritischen Komponenten eines 5G-Mobilfunknetzes aufgeführt. Weiterhin legt die BSI TR-03163 fest, dass die Zertifizierung auf Grundlage von durch das BSI freigegebenen Anforderungsdokumenten erfolgen muss, welche in der Anlage der genannten Technischen Richtlinie vermerkt sind. Hier wird ersichtlich, dass sich das BSI einer Zertifizierungslücke gegenübersieht. Diese Lücke bestätigt sich mit den bereits identifizierten kritischen Komponenten der Mobilfunkbetreiber, welche dem BSI aus den gemeinsamen Gesprächen mit den Betreibern bekannt sind. Aus einem Mangel an Ressourcen ist es dem BSI allerdings nicht möglich, die noch fehlenden Vorgabendokumente mit eigenen Mitteln fundiert zu erarbeiten. Das Projekt besteht aus 14 Fachlosen im Sinne des § 97 Abs. 4 des Gesetztes gegen Wettbewerbsbeschränkungen (GWB). Die Fachlose sollen unabhängig voneinander bearbeitet werden. Im Rahmen dieser Ausschreibung werden die ersten 7 Lose (Lose 1 bis 7) vergeben. Die Vergabe der übrigen Lose erfolgt zu einem späteren Zeitpunkt im Rahmen separater Verfahren. Ziel dieses Verfahrens ist die Vergabe mehrerer Beratungsleistungen im Bereich der Erstellung geeigneter Vorgabendokumente um eine Zertifizierung der kritischen Komponenten im 5G-Umfeld nach BSZ und CC zu ermöglichen.

Das Tool Dependency-Track des Open Web Application Security Project (OWASP) stellt eine Datenbank für Software Bill of Materials (SBOMs) dar. Ziel des Projektes ist es, Dependency-Track so zu erweitern, dass Security Advisories und Vunerability Exploitability eXchange (VEX) im Format des Common Security Advisory Framework (CSAF) eingelesen und mit den vorhandenen SBOMs abgeglichen werden können und es ein CSAF-standardkonformes CSAF-SBOM-Matching-System ist. Durch den Abgleich der SBOMs auch gegen CSAF-Dateien soll es ermöglicht werden, Aussagen zu erhalten, ob und wie eine in der SBOM enthaltene Komponente von einer Schwachstelle betroffen ist. Dadurch lässt sich das Schwachstellenmanagement bei Herstellern und die Marktüberwachung (teil-)automatisieren.