Die vorliegende Hausarbeit geht der Forschungsfrage nach, unter welchen Voraussetzungen Cloud-Dienstleister von KRITIS-Betreibern als kritische Infrastrukturen im sozio-technischen Sinne wahrzunehmen sind, bzw. ob die Einordnung von Cloudanbietern als KRITIS grundsätzlich gelten muss. Hierzu werden zunächst die zur Risikobestimmung maßgeblichen Merkmale kritischer Infrastrukturen ausgearbeitet und erläutert. Daran anschließend wird an den Forschungsgegenstand des Cloud-Computings herangeführt. Ferner werden die rechtlichen Grundlagen zur Identifikation von Cloud-Diensten als KRITIS-Dienstleister sowie als kritische Infrastruktur selbst beschrieben. In der Analyse findet die Untersuchung von Cloud-Systemen auf Anwendbarkeit der KRITIS-Eigenschaften am Fallbeispiel des Cloud-Computings für das Gesundheitssystem statt.
„Das Ausmaß der Erhebung und des Austauschs personenbezogener Daten hat eindrucksvoll zugenommen. Die Technik macht es möglich, dass private Unternehmen und Behörden im Rahmen ihrer Tätigkeiten in einem noch nie dagewesenen Umfang auf personenbezogene Daten zurückgreifen“, so lautet es in Abs. 2 der Begründung der europäischen Datenschutzrichtlinie DSGVO. Doch das Verwalten und Sammeln personen- und geschäftsbezogener Daten auf Cloud-Speichern birgt Risiken, wie Datenverlust sowie deren Raub oder Spionage durch Dritte. Besonders Cloud-Dienste, die Einrichtungen kritischer Infrastrukturen (KRITIS) zu ihrem Kundenstamm zählen, stellen ein beliebtes Ziel von Cyberangriffen dar. Dass diese Attacken auf kritische Infrastrukturen fatale Folgen haben können, zeigten die beiden Hackerangriffe durch die Softwares „NotPetya“ und „WannaCry“ Mitte des Jahres 2017. So sorgte die WannaCry-Attacke in mehreren britischen Krankenhäusern für Systemausfälle, wodurch Patienten nicht mehr aufgenommen oder nicht behandelt werden konnten und somit Leben in Gefahr standen. Die darauffolgende Attacke durch NotPetya führte bei der Reederei Maersk zum Ausfall von 50.000 Rechnern, wodurch ein wirtschaftlicher Schaden im neunstelligen Bereich für das Unternehmen entstand; insgesamt lagen die globalen Verluste durch den Angriff schätzungsweise in Milliardenhöhe.
Inhaltsverzeichnis
1. Einleitung
2. Kritische Infrastrukturen
2.1. Interaktionen in Systemen
2.2. Kopplung
2.3. Resilienz
2.4. Vier-Ebenen-Modell nach Perrow
3. Cloud-Computing
3.1. Vulnerabilität
3.2. Cloud-Computing von kritischen Infrastrukturen
3.3. Cloud-Computing als kritische Infrastruktur
4. Analyse
5. Fazit
6. Literatur
Zielsetzung & Themen
Die Arbeit untersucht, unter welchen Voraussetzungen Cloud-Dienstleister für KRITIS-Betreiber als kritische Infrastruktur im sozio-technischen Sinne einzuordnen sind und ob Cloud-Computing selbst als kritische Infrastruktur gelten muss.
- Analyse der systemtheoretischen Eigenschaften kritischer Infrastrukturen nach Charles B. Perrow.
- Untersuchung der Vulnerabilität und Resilienz von Cloud-Systemen.
- Anwendung des Vier-Ebenen-Modells auf Cloud-Computing und den Gesundheitssektor.
- Bewertung von IT-Outsourcing-Risiken und Identifikation von Cloud-Diensten als kritische Infrastruktur.
Auszug aus dem Buch
1. Einleitung
„Das Ausmaß der Erhebung und des Austauschs personenbezogener Daten hat eindrucksvoll zugenommen. Die Technik macht es möglich, dass private Unternehmen und Behörden im Rahmen ihrer Tätigkeiten in einem noch nie dagewesenen Umfang auf personenbezogene Daten zurückgreifen“, so lautet es in Abs. 2 der Begründung der europäischen Datenschutzrichtlinie DSGVO (DSGVO 2022, S. 3). Doch das Verwalten und Sammeln personen- und geschäftsbezogener Daten auf Cloud-Speichern birgt Risiken, wie Datenverlust sowie deren Raub oder Spionage durch Dritte. Besonders Cloud-Dienste, die Einrichtungen kritischer Infrastrukturen (KRITIS) zu ihrem Kundenstamm zählen, stellen ein beliebtes Ziel von Cyberangriffen dar (vgl. Adelmeyer et al. 2018, S. 7). Dass diese Attacken auf kritische Infrastrukturen fatale Folgen haben können, zeigten die beiden Hackerangriffe durch die Softwares „NotPetya“ und „WannaCry“ Mitte des Jahres 2017. So sorgte die WannaCry-Attacke in mehreren britischen Krankenhäusern für Systemausfälle, wodurch Patienten nicht mehr aufgenommen oder nicht behandelt werden konnten und somit Leben in Gefahr standen (vgl. Hofstetter 2019, S. 65). Die darauffolgende Attacke durch NotPetya führte bei der Reederei Maersk zum Ausfall von 50.000 Rechnern, wodurch ein wirtschaftlicher Schaden im neunstelligen Bereich für das Unternehmen entstand; insgesamt lagen die globalen Verluste durch den Angriff schätzungsweise in Milliardenhöhe (vgl. Hofstetter 2019, S. 65).
Die vorliegende Hausarbeit geht daher der Forschungsfrage nach, unter welchen Voraussetzungen Cloud-Dienstleister von KRITIS-Betreibern als kritische Infrastrukturen im sozio-technischen Sinne wahrzunehmen sind, bzw. ob die Einordnung von Cloudanbietern als KRITIS grundsätzlich gelten muss. Hierzu werden zunächst die zur Risikobestimmung maßgeblichen Merkmale kritischer Infrastrukturen ausgearbeitet und erläutert. Daran anschließend wird an den Forschungsgegenstand des Cloud-Computings herangeführt. Hierbei wird bewusst darauf verzichtet, eine tiefe Auseinandersetzung mit der technischen Perspektive der IT-Sicherheit vorzunehmen, da deren Verbesserung nicht Gegenstand dieser Arbeit ist und deshalb ein Grundwissen über IT-Sicherheit ausreicht. Ferner werden die rechtlichen Grundlagen zur Identifikation von Cloud-Diensten als KRITIS-Dienstleister sowie als Kritische Infrastruktur selbst beschrieben. In der Analyse findet die Untersuchung von Cloudsystemen auf Anwendbarkeit der KRITIS-Eigenschaften am Fallbeispiel des Cloud-Computings für das Gesundheitssystem statt. Aus den hieraus gewonnenen Erkenntnissen erfolgt eine Schlussfolgerung im Hinblick auf die Forschungsfrage.
Zusammenfassung der Kapitel
1. Einleitung: Diese Einleitung stellt die wachsende Bedeutung und die spezifischen Risiken von Cloud-Diensten im Kontext kritischer Infrastrukturen dar und formuliert die zentrale Forschungsfrage der Arbeit.
2. Kritische Infrastrukturen: Dieses Kapitel erläutert die theoretischen Grundlagen kritischer Infrastrukturen nach Perrow, insbesondere Aspekte wie Interaktion, Kopplung, Resilienz und das Vier-Ebenen-Modell.
3. Cloud-Computing: Es werden die Funktionsweise von Cloud-Diensten, deren Vulnerabilitätsfaktoren sowie die rechtliche Einordnung als KRITIS-Dienstleister oder eigenständige kritische Infrastruktur beleuchtet.
4. Analyse: Die Analyse prüft anhand des Vier-Ebenen-Modells und des Fallbeispiels „Gesundheitssystem“, inwiefern Cloud-Dienste als kritische Infrastrukturen klassifiziert werden können und welche Risiken dabei bestehen.
5. Fazit: Das Fazit beantwortet die Forschungsfrage und kommt zu dem Schluss, dass Cloud-Computing selbst als kritische Infrastruktur betrachtet werden muss.
6. Literatur: Dieses Kapitel listet die verwendeten Quellen und Fachpublikationen auf, die der Untersuchung zugrunde liegen.
Schlüsselwörter
Cloud-Computing, kritische Infrastrukturen, KRITIS, IT-Sicherheit, Sozio-technische Systeme, Charles B. Perrow, Resilienz, Vulnerabilität, Prozesskopplung, digitale Transformation, Gesundheitssystem, IT-Outsourcing, Risikomanagement, Systemausfall, Datensicherheit.
Häufig gestellte Fragen
Worum geht es in dieser Arbeit grundsätzlich?
Die Arbeit untersucht die sicherheitspolitische und soziologische Einordnung von Cloud-Diensten als kritische Infrastrukturen (KRITIS).
Was sind die zentralen Themenfelder?
Die zentralen Themen sind Systemtheorie nach Perrow, Cloud-Technologien, IT-Sicherheit und der Schutz kritischer Sektoren wie dem Gesundheitswesen.
Was ist die primäre Forschungsfrage?
Die Arbeit fragt, unter welchen Voraussetzungen Cloud-Dienstleister als KRITIS einzustufen sind und ob Cloud-Computing grundsätzlich als kritische Infrastruktur gelten muss.
Welche wissenschaftliche Methode wird verwendet?
Es wird eine systemtheoretische Analyse auf Basis des Vier-Ebenen-Modells von Charles B. Perrow unter Einbeziehung von Fallbeispielen wie dem Gesundheitssektor durchgeführt.
Was wird im Hauptteil behandelt?
Der Hauptteil behandelt die theoretischen Grundlagen für KRITIS, beschreibt Cloud-Computing-Strukturen und analysiert die Anwendbarkeit dieser Kriterien auf Cloud-Dienste.
Welche Schlüsselwörter charakterisieren die Arbeit?
Die Arbeit wird durch Begriffe wie KRITIS, Cloud-Computing, Systemresilienz, Vulnerabilität und sozio-technische Risiken charakterisiert.
Wie beeinflusst das Modell von Perrow die Argumentation?
Das Modell hilft, die Komplexität innerhalb der Cloud-Strukturen (Teile, Einheiten, Subsysteme, Gesamtsystem) zu dekonstruieren und so Schwachpunkte in deren Interaktionen und Kopplungen aufzudecken.
Warum ist das Gesundheitswesen ein wichtiges Fallbeispiel?
Das Gesundheitswesen verdeutlicht die direkten lebensbedrohlichen Konsequenzen, die beim Ausfall von Cloud-gestützten IT-Strukturen für die öffentliche Sicherheit entstehen können.
- Citar trabajo
- Marcel Kobold (Autor), 2022, Cloud-Computing in kritischen Infrastrukturen. Zwischen Dienstleistung für KRITIS-Betreiber und eigener kritischer Infrastruktur, Múnich, GRIN Verlag, https://www.grin.com/document/1281080
