IT-Sicherheitsstrategie für die Berliner Verwaltung

Sicherheit im Digitalen ist zu einer zentralen Herausforderung unserer Infrastrukturen und Kommunikationssysteme geworden ist. Dies gilt auch für die Berliner Verwaltung. Mit einem Antrag im Berliner Abgeordnetenhaus (Drucksache 18/1587) fordern wir den Berliner Senat auf, eine Awareness-Strategie für Informationssicherheit zu erarbeiten und als kontinuierlichen Informationssicherheitssensibilisierungsprozess zu etablieren. In dem Antrag haben wir fünf konkrete Maßnahmen benannt, die dabei berücksichtigt werden sollen.

• Live-Hacking-Veranstaltungen: Veranstaltungen für Beschäftigte der Berliner Verwaltung, bei denen Spezialisten zeigen, wie kriminelle Hacker gegen die Informationssicherheit handeln. Mit LiveAngriffsszenarien wird vorgeführt, wie sich sensible Daten ausspionieren lassen und welche Folgen dies für Firmen, Privatpersonen und das öffentliche Leben haben kann, und es werden Empfehlungen gegeben, um Schäden zu vermeiden. Mit Entertainment werden Gefahren aufgezeigt und deren Funktionsweise erläutert, denn Verständnis ist die Grundlage sensiblen Handelns.
• Regelmäßige Informationssicherheitsübungen: Auf Basis einer systematischen Methodik, wie sie bei Brandschutzübungen üblich sind, soll das Informationssicherheitsbewusstsein der Beschäftigten der Berliner Verwaltung sensibilisiert und trainiert werden.
• Online E-Learning-System zu Informationssicherheit: Online Schulungssystem mit Lernmaterialien (Videos, Tests, etc.) rund um Informationssicherheit, bei dem die Mitarbeiter*innen am Arbeitsplatz individuell in kurzen Einheiten lernen und Tests durchführen können. Dieses Angebot soll ergänzend zu PräsensSchulungen allen Beschäftigten offen stehen.
• Wettbewerb für Beschäftigte, die auf Informationssicherheitslücken hinweisen: Mit dieser Maßnahme soll die aktive Beteiligung von Beschäftigten an der Beseitigung von Schwachstellen in der Informationssicherheit gefördert werden.
• Bug-Bounty-Programm für Berliner Universitäten: In Zusammenarbeit mit Berliner Universitäten oder Forschungseinrichtungen sowie gemeinnützigen Vereinen wie dem CCC soll ein Programm zur Entdeckung von Sicherheitslücken und Sicherheitsvorfällen in der digitalen Infrastruktur der Berliner Verwaltung geschaffen werden. Dabei soll die Aufdeckung von Sicherheitslücken mit einem „Berliner Awareness-Preis für IT-Sicherheit“ (nach Vorbild von Bug-Bounty-Programmen im Unternehmensbereich) belohnt werden. In künftigen Verträgen mit Softwareanbietern sind hierfür entsprechende Regelungen zu schaffen, um die nötigen Preisgelder als Malus geltend machen zu können.