Bundesamt für Sicherheit in der Informationstechnik

In diesem Projekt wird ein Prozess und eine Testsuite zur (teil)automatisierten Evaluierung der Qualität und Konformität zur BSI TR-03135 von mobilen Dokumentenprüfapps entwickelt werden. Der Bedarf dafür ergibt sich insbesondere aus der vermehrten Nutzung mobiler Endgeräte zur Dokumentenprüfung und der wachsenden Anzahl an Dokumentenprüfapps unbekannter Qualität. Die Testsuite kann dabei auf mindestens zwei grundsätzlich verschiedene Arten gestaltet sein. Entweder handelt es sich um eine reine Emulationssoftware in der Dokumentenprüfapps ausgeführt werden oder die Dokumentenprüfapps werden auf ein Smartphone installiert und mit entsprechenden physischen Schnittstellen (RFID- Antenne, Bildschirm für die Kamera) bespielt. Unabhängig davon wird ein möglichst hoher Grad an Automatisierung angestrebt. Dazu soll der zu entwickelnde Prozess in Kombination mit der zu entwickelnden Testsuite strukturierte und reproduzierbare Bewertungen von Dokumentenprüfapps mit minimalem Aufwand ermöglichen.

Das BSI entwickelt im Auftrag des Bundesministeriums für Wirtschaft und Energie (BMWE) Technische Richtlinien und Schutzprofile für das intelligente Messsystem (iMSys). Die Rahmenbedingungen geben sowohl nationale als auch europäische Rechtsrahmen vor. Neuerungen im oder Änderungen am europäischen Kontext können sowohl Chance als auch Risiko sein und direkt die Aufgaben des BSI betreffen. Um den Risiken für das national etablierte intelligente Messsystem entgegenzuwirken, setzt das BSI dieses Projekt auf. Ziele des Projekts sind auf der einen Seite – wo möglich – an der Gestaltung der europäischen Rahmenbedingungen so mitzugestalten, dass diese den nationalen Umsetzungsweg der Digitalisierung der Energiewirtschaft unterstützen, und auf der anderen Seite das intelligente Messsystem als Erfolgsmodell für eine sichere IT-Infrastruktur in einem kritischen Versorgungsbereich auf europäischer Ebene zu etablieren. Neben der Informationsgewinnung ist die Mitarbeit in Gremien ein wesentlicher Punkt.

In dem Projekt 1015 werden hochaufgelöste Bilder von den einzelnen Schichten eines Chips mit bekanntem Open-Source-Design hergestellt. Die Bilddaten werden gemeinsam mit weiteren wichtigen Daten wie der zugrunde liegenden Netzliste, dem VHDL-Code und einem minimalen Open-Source-Framework z.B. auf github unter einer freien Lizenz als Benchmark veröffentlicht, um Sicherheitsforschern aus Industrie, Wirtschaft, Wissenschaft und Behörden den Zugang zu ermöglichen und die Möglichkeit zu geben, anhand der Daten ihre Reverse-Engineering-Ansätze zu testen.

Im Rahmen von zwei Arbeitsschwerpunkten (Arbeitsschwerpunkt C1 und Arbeitsschwerpunkt C2) wird mit der geplanten Studie das Ziel verfolgt, die Ergebnisse aus der Vorgänger-Studie SoVIT 1.0 (Projekt 448) zu vertiefen und zu erweitern und damit zusätzliche VS-Anforderungen an SDN-Architekturen (Systemebene) und SDN-Produkte (Produktebene) im VS-Kontext abzuleiten. Während bei der Vorgängerstudie SoVIT 1.0 der Schwerpunkt auf VS-IT-Systemen und SDN-Produkten lag, wird der Schwerpunkt der geplanten Studie (SoVIT 2.0) auf SDN-Architekturen und VS-Produkten liegen. Geplant ist, durch diese zusätzliche Perspektive die Ergebnisse aus SoVIT 1.0 zu vertiefen und zu erweitern. Insbesondere sind zusätzliche VS-Anforderungen an SDN-Architekturen (Systemebene) und SDN-Produkte (Produktebene) im VS-Kontext abzuleiten. In Schwerpunkt C1 werden unterschiedliche SDN-Architekturen und deren Verwendung im VS-Kontext untersucht. Auf Systemebene werden funktionale Anforderungen sowie VS-Anforderungen abgeleitet. In Schwerpunkt C2 werden zu den in C1 identifizierten SDN-Architekturen unterschiedliche Produktkonstellationen betrachtet, aus denen sich die jeweilige Architektur zusammensetzt. Auf Produktebene wird untersucht, (1) wie sich die in C1 ermittelten Anforderungen in den einzelnen Produkten wiederfinden und (2) welche zusätzlichen funktionalen Anforderungen und VS-Anforderungen auf Produktebene gestellt werden.

Das Projekt 634 „SiPra – Sicherheit von Praxisverwaltungssystemen“ hat den Anspruch, zunächst einen Überblick über die auf dem Markt befindlichen Praxisverwaltungssysteme (PVS) und deren technischen Eigenschaften (u.a. Funktionsumfang, Architektur, Sicherheitsmaßnahmen) zu geben. Im weiteren Verlauf des Projektes werden 4 PVS ausgewählt und anschließend umfassend technisch hinsichtlich der Sicherheit analysiert ((Penetrationstest, Fuzzing-Test, Ausführen von Schadcode, Einschleusen von Maleware). Die identifizierten Schwachstellen und Angriffsvektoren werden entsprechend dokumentiert und können als Basis für nachfolgende Projekte dienen, um die IT-Sicherheit bei den ambulanten Leistungserbringern zu ermöglichen.

Das Ziel des Projekts RACE-I ist die Erstellung einer Bedarfsanalyse und Machbarkeitsstudie für kryptographische RISC-V-Komponenten. RACE-I untergliedert sich in zwei Phasen. In Phase A liegt der Schwerpunkt einerseits auf der Analyse des Marktes und Bedarfs und andererseits auf die potentielle Anpassung bereits vorhandener RISC-V-Lösungen an kryptographische Vorgaben. In Phase B liegt der Schwerpunkt auf der Identifikation benötigter kryptographischer Extensions, Primitiven und Protokollen. Auf Basis dieser Identifikation wird der Ressourcenverbrauch schätzungsweise errechnet und anhand der Ergebnisse eine Auswahl von passenden RISC-V-Plattformen vorgeschlagen.

Das Tool Dependency-Track des Open Web Application Security Project (OWASP) stellt eine Datenbank für Software Bill of Materials (SBOMs) dar. Ziel des Projektes ist es, Dependency-Track so zu erweitern, dass Security Advisories und Vunerability Exploitability eXchange (VEX) im Format des Common Security Advisory Framework (CSAF) eingelesen und mit den vorhandenen SBOMs abgeglichen werden können und es ein CSAF-standardkonformes CSAF-SBOM-Matching-System ist. Durch den Abgleich der SBOMs auch gegen CSAF-Dateien soll es ermöglicht werden, Aussagen zu erhalten, ob und wie eine in der SBOM enthaltene Komponente von einer Schwachstelle betroffen ist. Dadurch lässt sich das Schwachstellenmanagement bei Herstellern und die Marktüberwachung (teil-)automatisieren.

Die Betreiber eines öffentlichen Mobilfunknetzes der fünften Generation sind gemäß § 165 Abs. 4 TKG ab dem Jahr 2026 verpflichtet erstmalig eingesetzte kritische Komponenten durch das BSI oder vom BSI anerkannten Stellen zertifizieren zu lassen. Hierfür muss das BSI geeignete Vorgabendokumente erstellen bzw. erstellen lassen. Dies soll unter Beachtung bestehender Risikoanalysen und Vorgabendokumente gemeinsam mit Herstellern und Bedarfsträgern geschehen. In der BSI TR-03163 sind die zugelassenen Schemata für die Zertifizierung der kritischen Komponenten eines 5G-Mobilfunknetzes aufgeführt. Weiterhin legt die BSI TR-03163 fest, dass die Zertifizierung auf Grundlage von durch das BSI freigegebenen Anforderungsdokumenten erfolgen muss, welche in der Anlage der genannten Technischen Richtlinie vermerkt sind. Hier wird ersichtlich, dass sich das BSI einer Zertifizierungslücke gegenübersieht. Diese Lücke bestätigt sich mit den bereits identifizierten kritischen Komponenten der Mobilfunkbetreiber, welche dem BSI aus den gemeinsamen Gesprächen mit den Betreibern bekannt sind. Aus einem Mangel an Ressourcen ist es dem BSI allerdings nicht möglich, die noch fehlenden Vorgabendokumente mit eigenen Mitteln fundiert zu erarbeiten. Das Projekt besteht aus 14 Fachlosen im Sinne des § 97 Abs. 4 des Gesetztes gegen Wettbewerbsbeschränkungen (GWB). Die Fachlose sollen unabhängig voneinander bearbeitet werden. Im Rahmen dieser Ausschreibung werden die ersten 7 Lose (Lose 1 bis 7) vergeben. Die Vergabe der übrigen Lose erfolgt zu einem späteren Zeitpunkt im Rahmen separater Verfahren. Ziel dieses Verfahrens ist die Vergabe mehrerer Beratungsleistungen im Bereich der Erstellung geeigneter Vorgabendokumente um eine Zertifizierung der kritischen Komponenten im 5G-Umfeld nach BSZ und CC zu ermöglichen.

Das Projekt soll den Reifegrad vorhandener KI-Methoden und Daten in der Medizin untersuchen. Hierbei wird eine Recherche vorhandener Trainingsdaten, KI-Modelle, Standards und Normen, Methoden der KI-Explainability, KI-Sicherheit und Robustheit sowie gegebenenfalls vorhandener Prüfwerkzeuge durchgeführt und Anforderungen an KI-Modelle und Trainingsdaten ausgearbeitet, die einen sicheren und effizienten Betrieb ermöglichen sollen. Insbesondere wird die Robustheit von KI-Modellen und Trainingsdaten evaluiert und auf Basis der Ergebnisse wird ein umfangreiches Prüfwerkzeug zur Bewertung von KI-Modellen und Trainingsdaten entwickelt, welches von einer externen Prüfstelle evaluiert wird. Diese validierten Anforderungen und das Prüfwerkzeug sollen durch das BSI mit Unterstützung des Auftragnehmers in Standardisierungsgremien eingebracht werden. Der Auftragnehmer verfasst eine wissenschaftliche Studie, welche sämtliche Ergebnisse des Projektes beinhaltet.

Die Betreiber eines öffentlichen Mobilfunknetzes der fünften Generation sind gemäß § 165 Abs. 4 TKG ab dem Jahr 2026 verpflichtet erstmalig eingesetzte kritische Komponenten durch das BSI oder vom BSI anerkannten Stellen zertifizieren zu lassen. Hierfür muss das BSI geeignete Vorgabendokumente erstellen bzw. erstellen lassen. Dies soll unter Beachtung bestehender Risikoanalysen und Vorgabendokumente gemeinsam mit Herstellern und Bedarfsträgern geschehen. In der BSI TR-03163 sind die zugelassenen Schemata für die Zertifizierung der kritischen Komponenten eines 5G-Mobilfunknetzes aufgeführt. Weiterhin legt die BSI TR-03163 fest, dass die Zertifizierung auf Grundlage von durch das BSI freigegebenen Anforderungsdokumenten erfolgen muss, welche in der Anlage der genannten Technischen Richtlinie vermerkt sind. Hier wird ersichtlich, dass sich das BSI einer Zertifizierungslücke gegenübersieht. Diese Lücke bestätigt sich mit den bereits identifizierten kritischen Komponenten der Mobilfunkbetreiber, welche dem BSI aus den gemeinsamen Gesprächen mit den Betreibern bekannt sind. Aus einem Mangel an Ressourcen ist es dem BSI allerdings nicht möglich, die noch fehlenden Vorgabendokumente mit eigenen Mitteln fundiert zu erarbeiten. Das Projekt besteht aus 14 Fachlosen im Sinne des § 97 Abs. 4 des Gesetztes gegen Wettbewerbsbeschränkungen (GWB). Die Fachlose sollen unabhängig voneinander bearbeitet werden. Im Rahmen dieser Ausschreibung werden die ersten 7 Lose (Lose 1 bis 7) vergeben. Die Vergabe der übrigen Lose erfolgt zu einem späteren Zeitpunkt im Rahmen separater Verfahren. Ziel dieses Verfahrens ist die Vergabe mehrerer Beratungsleistungen im Bereich der Erstellung geeigneter Vorgabendokumente um eine Zertifizierung der kritischen Komponenten im 5G-Umfeld nach BSZ und CC zu ermöglichen.