Die Bedrohungslage der IT hat sich in den letzten Jahren stark verändert und ist zuletzt geprägt von Angriffen professioneller auch politisch motivierter Gruppen. Jede Form von Angriffen führt zu verheerenden Datenlecks und zum Ausfall der Dienste. Bedrohlich ist diese Gefahrenlage besonders für öffentliche Infrastrukturen (wie Stadtwerke, Verwaltungen, Hochschulen), kritische Infrastrukturen (wie Banken, Versicherungen, Finanzdienstleister) und KMUs, die durch Ausfälle in ihrer Handlungsfähigkeit stark eingeschränkt bzw. existenziell bedroht werden. Die Angriffe selbst basieren auf Schwachstellen in den eingesetzten Systemen sowie der Konfiguration der Komponenten. Die ausgenutzten Schwachstellen sind weder neu noch auf potenzielle Opfer zugeschnitten, sondern werden in großem Umfang eingesetzt. Die DECOIT® hat mit ihren Partnern ein BMFTR-Projekt im Bereich KMU-innovativ im Themenumfeld „Künstliche Intelligenz und Softwaresysteme“ gewonnen.

Ein wesentlicher Baustein ist in der Sicherung der IT-Struktur das regelmäßige und standardisierte Überprüfen der „Compliance” mit geeigneten Regularien wie DORA, NIS-2 oder auch die Technischen Richtlinien des BSI. Hierbei wird ein System samt Komponenten auf seine Konformität mit gegebenen, selbst gesetzten oder vorgeschriebenen Sicherheitsstandards und Regelwerken überprüft. Dies ist ein manuell ausgeführter Prozess mit erheblichem Aufwand, für den es nur kaum Werkzeuge zur Automatisierung gibt. Um die Sicherheit und Compliance eines Gesamtsystems beurteilen zu können, müssen unsichere Konfigurationen ähnlich den Mechanismen, die aus dem Bereich des Schwachstellenmanagements bekannt sind, erfasst und bewertet werden. Auch sind diese Konfigurationen in Beziehung zu den jeweiligen einschlägigen Anforderungen aus Standards wie DORA oder NIS-2 zu setzen. Darüber werden zentrale Stellen in die Lage versetzt, diese Fehlkonfigurationen zu teilen. KMUs, Verwaltungen und andere Organisationen können dann nicht nur ihre Komponenten auf Schwachstellen prüfen, sondern auch fehlerhafte Konfigurationen erkennen und entsprechend ihrer Wichtigkeit beheben.

Ziel des Vorhabens ist es daher, Fehlkonfigurationen als eigene Klasse von Verwundbarkeiten zu definieren und zu bewerten. In einer umfassenden Sicherheitsbewertung können so automatisiert Abweichungen von den (gesetzlichen) Vorgaben erkannt und Schwachstellen, die aus der Fehlkonfiguration entstehen, aufgespürt werden. Die strukturierte Analyse bestehender Systeme wird deutlich vereinfacht, das Sicherheitsniveau der Anwender gestärkt sowie das Erstellen von Berichten bezüglich eines Rahmenwerks vereinfacht. Ein zentraler Innovationsbaustein ist die Entwicklung eines Meta-Modells und einer Ontologie, welche regulatorische Anforderungen, Systemkonfigurationen und Fehlkonfigurationen formal und semantisch verknüpfen. Damit wird ein generisches, erweiterbares Compliance-Framework geschaffen, das über bestehende Checklisten-Ansätze hinausgeht und eine effiziente, KI-gestützte Analyse ermöglicht.

Aufbauend darauf entwickelt das Projekt eine Metrik zur Beurteilung von Schwachstellen in Konfigurationsdaten, ein Tool, das die automatisierte Erfassung und Bewertung dieser Schwachstellen unterstützt, sowie ein Vorgehensmodell, das die Kohäsion der Systemkonfiguration mit regulatorischen Vorgaben beurteilt. Die entwickelte Metrik als Teil des Tools erlaubt den strukturierten und regelbasierten Betrieb sowie unterstützt und automatisiert in Teilen externe Audits.

Das BMFTR-Projekt Security Compliance Monitoring zur Erhöhung der Resilienz (SCoM) wird am 01. Oktober 2026 beginnen und soll nach zwei Jahren am 30. September 2028 enden. Die Konsortialleitung wird die DECOIT® übernehmen. Die Entwicklung wird durch die Partner Hochschule Mainz (Ontologie), usd AG (Compliance), DECOIT® (Anomalie-Erkennung) und FB PRO GmbH (Systemhärtung) durchgeführt werden, während für den Forschungsanteil die Hochschule Mainz zuständig sein wird. Das Projekt wurde auf zwei Jahre angelegt, da schnellstmöglich Ergebnisse erzielt werden sollen.