Digitales ABC: C wie...

CERT, Akronym für Computer Emergency Response Team

Von Bruno Habegger · 8. November 2024

Bedeutung

Ein Computer Emergency Response Team (CERT), deutsch Computersicherheits-Ereignis- und Reaktionsteam, ist eine Gruppe von IT-Security-Spezialisten, die bei der Lösung von konkreten IT-Sicherheitsvorfällen als Koordinator mitwirkt bzw. sich allgemein IT-Security befasst, Warnungen vor Sicherheitslücken herausgibt und Lösungsansätze anbietet.

Ausgangslage

Dringen Hacker in ein IT-System ein, herrscht höchste Alarmstufe. Es braucht ein schnelles, koordiniertes Vorgehen, nicht nur zwischen Technik und Organisation bzw. Management des betroffenen Unternehmens, sondern auch eine internationale Koordination der technischen Experten, die Vorfälle einschätzen und Lösungen bereithalten – weil die entsprechende Methode und die Hackergruppe bzw. kriminelle Organisation über alle nationalen Grenzen hinweg zuschlägt.

Für Einsätze bei einem Sicherheitsdurchbruch – sozusagen als «Betriebsfeuerwehr» – und den nötigen Austausch auf technischem Level sind CERT-Teams zuständig, die Computersicherheits-Ereignis- und Reaktionsteams. Ein synonymer Begriff ist CSIRT (Computer Security Incident Response Team). Er wird meist für Firmenteams verwendet.

In den CERTs arbeiten IT-Security-Experten, die laufend die Bedrohungslage monitoren, Warnungen und Ratschläge herausgeben. Ausserdem bieten CERTs sofortige Unterstützung im Krisenfall und forensische Untersuchungen an. Manche sind auf einen bestimmten Sektor oder Branche spezialisiert. Der Austausch unter den Expertinnen und Experten der CERTs weltweit erfolgt meist via Mailinglisten und über diverse staatliche und nichtstaatliche Organisationen.

Geschichte

Der erste bekannte Computerwurm namens Morris führte 1988 in den USA zur Gründung des ersten CERT am Software Engineering Institute an der Carnegie Mellon University (cert.org). Der Fall wurde damals heftig diskutiert und führte zu einem grösseren Sicherheitsbewusstsein von Unternehmen und Organisationen. Man könnte fast sagen: die Wurmkur war erfolgreich. Auch für den Studenten, der den Wurm angeblich versehentlich freigesetzt hatte: Er wurde nur zu einer Bewährungsstrafe und Bussgeld sowie 400 Stunden sozialer Arbeit verurteilt.

Deep Dive

CERT werden gerufen, wenn die eigenen Kräfte nicht mehr ausreichen, um einen Notfall zu bewältigen. Dazu müssen sie eng mit den Security Operations Centers (SOC) der betroffenen Unternehmen oder Organisationen zusammenarbeiten, die alle nötigen Informationen zur Bekämpfung der Eindringlinge bereithalten. Auch Abraxas unterhält ein SOC mit einem Security Incident and Events Management (SIEM) als technisches Herzstück sowie einem Ad-hoc-CERT, das im Krisenfall zusammentritt.
CERT sind inzwischen weltweit etabliert, zuweilen als feste Organisation, oft aber als lose Verbindung von Expertinnen und Experten, die sich über Mailinglisten austauschen und sich gegenseitig über aktuelle Bedrohungen und Lösungen austauschen. Diese flexible Organisation in einer Netzwerkstruktur ermöglicht ein schnelles Reagieren auf eine veränderte Bedrohungslage. Erkenntnisse aus lokalen Angriffen können so weltweit geteilt werden.

In der Schweiz gibt es zwei etablierte nationale CERT für kritische Infrastrukturen mit einer klar definierten Aufgabe und Zielgruppe, daneben auch private CERT, die für die eigene Organisation oder Dritte tätig sind.

GovCERT

Im Bundesamt für Cybersicherheit (BACS) unterstützt das CERT die Betreiberinnen und Betreiber von kritischen Infrastrukturen, die Verwaltung und den Wirtschaftsstandort Schweiz mit technischen Informationen zu aktuellen Cyberbedrohungen sowie bei der Bewältigung von Cybervorfällen. Zudem arbeitet das GovCERT eng mit den Polizeibehörden zusammen. Es liefert diesen ausserdem technische Analysen. Seit 2024 sind GovCERT und das Nationale Zentrum für Cybersicherheit (NCSC, ehemals MELANI) zu einer Fachstelle zusammengefasst.

Switch CERT

SWITCH betreibt seit 1994 ein CERT für das Schweiz Hochschulnetzwerk sowie staatliche Institutionen aus dem Forschungs- und Bildungssektor und privatwirtschaftliche Unternehmen aus den Bereichen Banking, Industrie, Logistik und Energie.

Neben den beiden nationalen CERTs existieren viele weitere Stellen und Gruppierungen, die ähnliche Funktionen übernehmen, etwa auf Stufe Kanton oder bei grösseren Unternehmen. Auch Abraxas betreibt innerhalb des hauseigenen SOC ein dediziertes Team aus IT-Sicherheitsspezialisten, die im Krisenfall auf den Plan treten, laufend Bedrohungen analysieren, vor Schwachstellen warnen und Schulungen durchführen.

Die CERT arbeiten über internationale Organisationen zusammen oder direkt mit anderen CERT, etwa dem U.S.-CERT oder dem CERT Bund in Deutschland.

Wichtige Organisationen

  • CH-CERTs: Swiss CERT Community (loser Verbund nationaler CERT, Aufnahme via SWITCH CERT)
  • SISA: Swiss Internet Security Alliance
  • SCE: Swiss Cyber Experts
  • CERT-ENISA: CERT der Europäischen Agentur für Netzwerk und Informationssicherheit
  • Trusted Introducer: Europäische Datenbank von Computer Security Incident Response Teams
  • TF-CSIRT: Task Force Computer Security Incident Response Teams, Europa
  • FIRST: Forum of Incident Response and Security Teams
  • EGC: European Government CERTs

Wirkung

CERTs sind ein wichtiges Element der Cybersicherheitskette, indem sie vor, während und nach Sicherheitsvorfällen aktiv sind: Sie betreiben – international vernetzt – Prävention, sind bei Angriffen an vorderster Front bei der Bekämpfung mit dabei und untersuchen Gründe und Urheber (IT-Forensik).
Die Arbeit der CERT weltweit stärkt die Resilienz von Unternehmen und Organisationen, indem diese auf bewährte Dispositive, Technologien und Methoden zurückgreifen können, um Angriffe abzuschlagen. CERT sind unverzichtbar, weil die Cyberabwehr ein Sensorium für die globale Bedrohungslage und technisches Wissen voraussetzt, gespiesen aus unzähligen erfolgreich zurückgeschlagenen Angriffen sowie geschützten Organisationen und Unternehmen.

Alle bisher erschienenen Buchstaben im digitalen ABC

Abraxas erklärt die wichtigsten Begriffe und Buzzwords der IT-Branche.
Bruno Habegger

Über Bruno Habegger

Bruno Habegger ist Abraxas-Magazin-Autor und Senior Communication Manager. Er verfügt über eine langjährige Erfahrung im ICT- und Energie-Bereich als Journalist, Contentproduzent und Berater. Er war Präsident einer Regionalpartei und an seinem damaligen Wohnort acht Jahre Mitglied der Sicherheitskommission.

Lesen Sie auch

0 / 0