6. Erhebung von Informations- und Datenquellen für Cyber-Lagebilder

Ein Cyber-Lagezentrum ist eine zentrale Organisationseinheit, in der alle relevanten Informationen über Sicherheitsvorfälle zur Aufarbeitung und Bewertung zusammenlaufen. In diesem Zusammenhang sind die richtigen Informations- und Datenquellen unverzichtbare Bestandteile bei der Erstellung von Cyber-Lagebildern. Durch die Auswertung von zahlreichen Informationen und Daten kann das Situationsbewusstsein über den Zustand kritischer und wesentlicher Infrastrukturen auf unterschiedlichen Ebenen entstehen. Dazu ist es essenziell, die relevanten Quellen nutzbar zu machen.

Die Etablierung der Lagebilder benötigt die Kombination und Korrelation eines breiten Spektrums unterschiedlicher Daten. Daher wird in diesem Kapitel eine Kategorisierung von Informationen und Daten für Cyber-Lagebilder eingeführt. Informationen werden entweder zum Kernlagebild oder zum Kontext gezählt. Das Kernlagebild umfasst großteils kontextlose Daten und „Informationsbausteine“, wie etwa Beobachtungen, Indikatoren, Zwischen- und Störfälle, TTPs, Kampagnen, Akteure, Schwachstellen und Angreifer-Vorgehensweisen. Das Kernlagebild besteht aus Kerndaten (zum Beispiel von Sensoren) und Kerninformationen (zum Beispiel wesentliche Informationen über Netzstrukturen und Asset Management kritischer Betreiber), welche die Grundlage zur Erstellung des Lagebildes bilden. Die Kontextinformationen des Lagebildes hingegen decken all jene weiteren Informationen ab, welche für die zweckmäßige Interpretation des Kernlagebildes auf nationaler Ebene erforderlich sind.

Die erforderlichen Informationen für Lagebilder und Situationsbewusstsein werden aus unterschiedlichen Quellen gewonnen. Durch Analyse und Korrelation der unterschiedlichen Daten werden wertvolles Wissen und Erkenntnisse erzeugt. Die Quellen können nach verschiedenen Aspekten kategorisiert werden, wie z. B. nach Zugänglichkeit, Eigentümer der Information, Erfassungsart oder Strukturierung der Daten und Informationen, oder Relevanz für Entscheidungsebenen, nur um einige Beispiele zu nennen.

In Cyber-Lagezentren basieren die Entscheidungen auf der Auswertung von ständig wachsenden Datenbeständen bei zunehmend komplexer werdenden Datenstrukturen. Fehlentscheidungen, aufgrund nicht korrekter Informationen, können erheblichen Schaden verursachen. Daher ist die Bestimmung der Qualität von Daten und Informationen ein zentraler Themenbereich für Cyber-Lagezentren. Die Daten- und Informationsqualität bildet außerdem einen kritischen Aspekt im Bereich der nationalen Sicherheit. Beispielsweise haben Daten minderer Qualität beim Air France Vorfall 2013 im Einsatz zu einem falschen Alarm geführt. Auch die Anschläge bei 9/11 zeigten eine weitere Schwierigkeit der wachsenden Datenmenge, nämlich die rechtzeitige Datenaggregation und Korrelation. Laut dem Abschlussbericht von 9/11 gehören die inkonsequente Prioritätensetzung bei der Datenaggregation und die schlechten oder nicht vorhandenen Kommunikationswege zwischen den Behörden zu den kritischsten Bereichen. Um eine bestimmte Daten- und Informationsqualität gewährleisten zu können, ist eine konsequente Qualitätsbewertung essenziell. Daher beinhaltet das Kapitel eine Liste von Qualitätskriterien, die als Anforderungskatalog für die Informationssammlung für Cyber-Lagebilder dienen kann. Die weiteren Abschnitte setzen die bis dahin dargestellten theoretischen Modelle in die Praxis um und zeigen sowohl eine beispielhafte Evaluierung verschiedener Informationsquellen basierend auf einem Muster-Bewertungsschema als auch eine beispielhafte Auswahl von Informationen für Lagebilder zur Beurteilung spezieller Angriffsszenarien.