Zertifizierte Sicherheit Mit NESAS sollen 5G-Komponenten ab 2026 sicherer werden

Anbieter zum Thema

CSA Group Bayern GmbH

MES Electronic Connect GmbH & Co. KG

ISH Ingenieursozietät GmbH

Der steigende mobile Datenverkehr, wie er beispielsweise bei Industrie 4.0 oder im Gesundheitswesen entsteht, macht 5G-Netze zu einer kritischen Infrastruktur. Ab 2026 müssen Hersteller ihre 5G-Komponenten gemäß dem internationalen NESAS-Standard verpflichtend zertifizieren.

Mobilfunk ist aus dem Alltag und dem Geschäftsleben nicht mehr wegzudenken. Es werden eine Unmenge von Daten in verschiedensten Nutzungsszenarien wie Industrie 4.0, Gesundheitswesen oder Verkehr und Logistik drahtlos übertragen. Das insgesamt mobile übertragene Datenvolumen in Deutschland stieg 2024 auf rund 9,6 Mrd. GByte (Vorjahr: 9,1 Mrd. GByte). Der Anteil von M2M-/IoT-SIM-Karten (Industrie, Verkehr, Logistik, Health) wächst weiterhin schnell: Für 2024 lagen die aktiven M2M-SIM-Karten bei geschätzt 80 bis 90 Mio.und treiben das Datenvolumen besonders im Business-Bereich massiv an.

Angriff auf den Datenverkehr

Auf der anderen Seite zieht das steigende Datenvolumen auch Kriminelle an: Angreifer können die Kommunikation mit Schadsoftware abhören, manipulieren oder unterbinden. Das Risiko von Attacken auf Daten von Nutzern und Netzbetreibern ist in der Tat hoch; für Mobilfunknetze bedeutet das, dass ihre Verfügbarkeit gestört, sie zusammenbrechen oder ganz abgeschaltet werden können.

Angesichts dieser Bedrohungslage hat die Bundesnetzagentur 5G-Netze auf die Liste der kritischen Infrastrukturen (KRITIS) gesetzt. Die sogenannten kritischen Komponenten in Mobilfunknetzen, also jene, die von der Bundesnetzagentur als sicherheitsrelevant eingestuft wurden, müssen nach dem Telekommunikationsgesetz ab 2026 verpflichtend zertifiziert werden. Wegen der gesellschaftlichen Abhängigkeit vom Mobilfunknetz soll dessen sicherer, störungsfreier Betrieb dafür auf klar definierten Sicherheitsstandards beruhen, die eine behördliche Zertifizierung der involvierten Software-Komponenten erlauben. Es gilt, dadurch den sicheren Betrieb von Mobilfunknetzen zu gewährleisten und bösartige Angriffe auf Mobilfunkkomponenten zu unterbinden oder zumindest zu erschweren.

NESAS (Network Equipment Security Assurance Scheme)

Die Industrie hat sich mit dem Network Equipment Security Assurance Scheme (NESAS) einen internationalen Sicherheitsstandard gegeben. Es wurde vom 3^rd Generation Partnership Project (3GPP) und der GSM Association (GSMA) entwickelt. Dabei handelt es sich um einen Zusammenschluss von Mobilfunkbetreiber sowie Komponentenhersteller. Angesichts ihrer länderübergreifenden Tätigkeiten lag ein internationales Anforderungsschema nahe. Mit NESAS werden die Anforderungen an Mobilfunk- und Netzwerkprodukte harmonisiert, um einen sicheren Betrieb zu gewährleisten.

Es definiert Anforderungen an eine sichere Entwicklung und einen sicheren Lebenszyklus von Netzwerkprodukten und führt Anforderungen, beispielsweise für den Schutz der Administrationsschnittstellen auf. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf Basis des NESAS-Anforderungsschemas das nationale Zertifizierungsschema NESAS Cybersecurity Certification Scheme – German Implementation (NESAS CCS-GI) definiert. Diese Anstrengungen ermöglichen erstmals eine behördliche Zertifizierung der IT-Sicherheit kritischer 5G Netzwerkkomponenten. NESAS CCS-GI harmonisiert die bestehenden Anforderungen an Tests und Dokumentation mit behördlichen Vorgaben für Deutschland, beispielsweise beim Schutz von Netzwerkverbindungen mit kryptografischen Tunneln.

Die Sicherheit eines Mobilfunknetzes im Fokus

Generell strebt die Mobilfunkindustrie hin zu einer größeren Standardisierung der Sicherheitsinfrastruktur, steht aber noch am Anfang. Bei den ersten Mobilfunkgenerationen hatte nicht die Sicherheit Priorität, sondern die Herstellung einer zuverlässigen Verbindung zwischen den Netzen der verschiedenen Netzanbieter.

Heute sind Sicherheitstests nur ein kleiner Teil der technischen Anforderungen. Mit NESAS hat sich die Industrie auf einheitliche Produkteigenschaften verständigt. Teilweise fehlen hier noch anerkannte Tests oder Schemata befinden sich erst im Aufbau. Die SCAS-Testkataloge wurden für 5G eingeführt, die auch die Basis für die zukünftige 6G Mobilfunkgeneration bilden wird. Künftig ist mit einem höheren Reifegrad der Testverfahren zu rechnen und das mit einem größeren Automatisierungsgrad sowie einer schnelleren und einfacheren Durchführung der Tests.

Die Technische Richtlinie BSI-TR-03163 definiert die notwendigen Prüfverfahren auf Basis der Komponenten eines 5G-Kernnetzes. Neben den „Common Criteria” (CC) und der „Beschleunigten Sicherheitszertifizierung” (BSZ) ist das „NESAS CCS-GI” eines von drei Zertifizierungsschemata. Während NESAS CCS-GI bei Kernnetz und Radioaccess-Network zum Einsatz kommt, greift CC schwerpunktmäßig bei Managementsystemen und BSZ gilt für Transportnetze und Schnittstellen zu anderen Netzwerken.

NESAS CCS-GI liegt somit in Bezug auf die Tiefe und Komplexität der Prüfansätze in der Mitte. Da es auf Tests basiert, auf die sich die Hersteller in der GSMA geeinigt haben, genießt es eine hohe Akzeptanz unter den Entwicklern von 5G-Komponenten. Die BSZ-Zertifizierung setzt auf einen schnellen Prüfansatz, bei dem bekannte Schwachstellen und Designschwächen vorrangig beleuchtet werden. Bei den Common-Criteria-Evaluierungen orientiert man sich an einem formalen Modell der Sicherheitsleistungen, das von einem unabhängigen Prüflabor untersucht wird.

Komponenten des 5G-Mobilfunknetzes zertifizieren

Mit NESAS CCS-GI können Komponenten für 5G-Mobilfunknetze zertifiziert werden. Insgesamt werden dabei vier Phasen unterschieden:

• 1. In der Vorbereitungsphase wird festgelegt, welche Komponenten geprüft werden sollen. Zwar sind den Produkten Prüfkataloge zugeordnet, doch sie stimmen nicht per se mit den vom Hersteller konzeptionierten Modulen überein. Es muss also geklärt werden, was geprüft werden soll und was die Prüfung konkret umfasst. Hersteller, Zertifizierungsstelle und Prüflabor einigen sich auf den Umfang.

• 2. Die Auditierungsphase erfolgt beim Hersteller, wo Entwicklungs- und Herstellungsprozesse der Komponenten überprüft werden. Externe Auditoren untersuchen Softwareentwicklungs- und Lebenszyklusprozesse. Die Basis dafür ist die Prozessbeschreibung des Herstellers. Diese Phase schließt mit einem Auditbericht ab.

• 3. Dem folgt die Evaluierungsphase des Produkts: Ein nach ISO/IEC 17025 akkreditiertes Prüflabor prüft vor Durchführung der eigentlichen Tests unter anderem, ob alle Anforderungen berücksichtigt wurden, ob die Schwachstellenanalyse ausreicht, ob die Dokumentation und die Herstellerdokumentation vollständig sind. NESAS CCS-GI stellt hier unter anderem Anforderungen an Schnittstellen und Komponenten. Die Grundlage der Evaluation stellt die Security Assurance Specifications (SCAS) für standardisierte, von 3GPP spezifizierte Funktionen dar. Der Evaluierungsplan wird vom Zertifizierungsbegleiter des BSI abgenommen. Am Ende bestätigt der Evaluationsbericht, dass alle Anforderungen vom Produkt erfüllt werden.

• 4. In der finalen Zertifizierungsphase prüft das BSI die Testergebnisse und erteilt das Zertifikat.

NESAS CCS-I-Zertifizierung ist auch außerhalb Deutschlands vorteilhaft

Eine NESAS CCS-GI-Zertifizierung ist für Mobilfunkbetreiber künftig die grundlegende Voraussetzung, um zum deutschen Markt Zugang zu haben; sie bringt aber darüber hinaus auch per se Vorteile für die Produkthersteller mit: Die unabhängige Prüfung sichert einen höheren Qualitätsstandard, Hersteller können aufgrund der unabhängigen Tests und Rückmeldungen das Sicherheitsniveau ihrer Komponenten nachhaltig anheben. Der erzielte Sicherheitsgewinn kann damit alle Installationen eines Herstellers betreffen, auch über die Grenzen Deutschlands hinaus.

Es ist denkbar, dass die Erkenntnisse aus der NESAS CCS-GI-Zertifizierung bei den Bestrebungen hinsichtlich EU5G zum Tragen kommen und zukünftig deutsche Zertifikate von anderen EU-Mitgliedsstaaten anerkannt werden. Mit Inkrafttreten der BSI TR-03161 hat ein 24-monatiger Zeitraum begonnen, an deren Ende die BSI Zertifizierung der relevanten Sicherheitskomponenten für den rechtskonformen Betrieb von 5G Netzen Voraussetzung sein wird.

Sicherheit wird somit nicht nur zur formalen Notwendigkeit, sondern auch zum zentralen Qualitätsmerkmal in modernen Telekommunikationsnetzen. Für Hersteller werden NESAS-CCS-GI-Zertifizierungen daher zum entscheidenden Wettbewerbsvorteil. Der Prüfaufwand für Folgeprüfungen nimmt außerdem ab: Während die erste Produktevaluierung mit dem Hauptanteil an Aufwand und Kosten verbunden ist, können Folgeüberprüfungen von Updates und Änderungen deutlich mit geringeren Aufwänden und daher günstiger erfolgen, da das Prüflabor Erkenntnisse wiederverwenden kann.

Entwickler von 5G-Komponenten verfügen über umfassende Expertise, um die technischen Anforderungen an die Kompatibilität mit den GSMA-Anforderungen und den SCAS-Testsuiten zu erfüllen. Der Nachweis von SCAS-Tests und die Aufbereitung der entsprechenden Dokumentation, wie sie für die Evaluation nach NESAS CCS-GI erforderlich ist, können jedoch Beratungsbedarf aufzeigen. Hier bietet sich die Unterstützung durch eine anerkannte NESAS-CCS-GI-Prüfstelle an, um Nachbesserungsbedarf frühzeitig zu erkennen und einen zeitgerechten Abschluss der Evaluierungs- und Zertifizierungstätigkeiten zu gewährleisten.

Dafür ist eine sorgfältige Planung der Evaluierung erforderlich, in der der Abstimmungsbedarf geklärt wird, etwa hinsichtlich des Aufbaus der Dokumentation und der Durchführung der Tests, um den Zeitaufwand für das Verfahren optimal zu gestalten. Das SRC-Prüflabor begleitet Evaluierungskunden seit 2020 und bringt dieses Wissen in seine NESAS-CCS-GI-Verfahren zum Nutzen der Kunden ein. So unterstützen die NESAS-Evaluatoren Hersteller kritischer technischer Komponenten bei der Produkthärtung und letztlich bei einer erfolgreichen Zertifizierung. Als eine der wenigen anerkannten Prüfstellen in Deutschland bietet SRC Herstellern alle relevanten Zertifizierungsoptionen – CC, BSZ und NESAS CCS-GI – aus einer Hand. Dafür hat SRC die entsprechende Expertise erworben. Dank der eigenen Test- und Entwicklungsabteilung ist SRC zudem in der Lage, Änderungen im noch jungen Testverfahren umzusetzen. (heh)

* Dr. Georg Mörsch ist Berater und Information Technology Security Consultant bei SRC Security Research & Consulting.

(ID:50522789)