Eine BSI-konforme Internetanbindung für Behördenarbeitsplätze setzt voraus, dass der Webbrowser physisch vom internen Netzwerk getrennt wird, sodass Schadcode aus dem Internet niemals den Arbeitsplatzrechner oder die interne Infrastruktur erreichen kann. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt hierfür explizit den Einsatz eines Remote-Controlled Browser Systems (ReCoBS). Die folgenden Abschnitte erklären, welche Anforderungen konkret gelten, wie eine solche Lösung technisch aussieht und welche Schritte für die Einführung notwendig sind.
Welche BSI-Anforderungen gelten für den Internetzugang in Behörden?
Das BSI fordert, dass der Internetzugang in Behörden so gestaltet wird, dass interne Netze zuverlässig vor Bedrohungen aus dem Internet geschützt sind. Konkret verlangt das BSI IT-Grundschutz-Kompendium eine strikte Netztrennung zwischen internem Behördennetz und dem öffentlichen Internet, eine kontrollierte Kommunikation über definierte Übergangspunkte sowie den Einsatz geprüfter und zertifizierter Sicherheitslösungen.
Für Behörden mit erhöhtem Schutzbedarf empfiehlt das BSI ausdrücklich den Einsatz eines ReCoBS, da klassische Sicherheitsmechanismen wie Virenscanner oder Firewalls allein keinen ausreichenden Schutz vor browserbasierten Angriffen bieten. Besonders relevant ist dies, weil Webbrowser zu den am häufigsten angegriffenen Anwendungen zählen: Sicherheitslücken in Browser-Engines, schädliches JavaScript oder manipulierte Webseiten können ohne Netztrennung direkt in die interne Infrastruktur eindringen.
Darüber hinaus verlangen BSI-Vorgaben eine lückenlose Protokollierung des Internetverkehrs sowie regelmäßige Sicherheitsaudits, um die Wirksamkeit der eingesetzten Maßnahmen nachzuweisen. Behörden, die unter die NIS2-Richtlinie oder den Bereich Kritischer Infrastrukturen fallen, unterliegen zusätzlich verschärften Meldepflichten und Nachweisanforderungen.
Was ist ein Remote-Controlled Browser System (ReCoBS)?
Ein Remote-Controlled Browser System, kurz ReCoBS, ist eine Client-Server-Architektur, bei der der Webbrowser nicht auf dem Arbeitsplatzrechner des Nutzers ausgeführt wird, sondern auf einem isolierten Server. Der Nutzer sieht lediglich eine Bildschirmübertragung der Browserdarstellung, während sämtliche Internetinhalte ausschließlich auf dem Server verarbeitet werden.
Das entscheidende Sicherheitsprinzip dahinter ist die physische Trennung der Ausführungsumgebung: Selbst wenn eine Webseite Schadcode enthält, kann dieser niemals den Arbeitsplatzrechner oder das interne Netz erreichen, da zwischen beiden Systemen kein direkter Datenaustausch stattfindet. Der einzige Kanal zwischen Server und Client ist die Bildschirmdarstellung, ergänzt durch Tastatur- und Mauseingaben.
Dieses Prinzip unterscheidet ReCoBS grundlegend von herkömmlichen Sicherheitslösungen wie Proxyservern oder Content-Filtern, die lediglich bekannte Bedrohungen herausfiltern. ReCoBS verhindert Angriffe präventiv, unabhängig davon, ob eine Bedrohung bereits bekannt ist oder nicht. Das BSI stuft ReCoBS daher als eine der wirksamsten Maßnahmen zur sicheren Internetanbindung ein.
Möchten Sie wissen, wie eine BSI-konforme Internetanbindung konkret in Ihrer Behörde aussehen kann? Kontaktieren Sie uns für ein unverbindliches Erstgespräch, in dem wir gemeinsam Ihren Schutzbedarf analysieren und die passende Lösung identifizieren.
Wie wird eine ReCoBS-Lösung in einer Behörde technisch umgesetzt?
Die technische Umsetzung einer ReCoBS-Lösung in einer Behörde gliedert sich in mehrere Schichten: einen gehärteten Browserserver in der DMZ, eine gesicherte Übertragungsstrecke zum Arbeitsplatz sowie eine strikte Firewall-Regelung, die direkten Internetverkehr aus dem internen Netz unterbindet.
Serverinfrastruktur und Netzsegmentierung
Der ReCoBS-Server wird in einer dedizierten demilitarisierten Zone (DMZ) betrieben, die weder direkt mit dem internen Netz noch ohne Kontrolle mit dem Internet verbunden ist. Eingehende Internetverbindungen werden ausschließlich über diesen Server abgewickelt. Das interne Netz erhält keine direkte Routingverbindung ins Internet, sodass selbst ein kompromittierter Arbeitsplatzrechner keinen unkontrollierten Internetzugang herstellen kann.
Clientseitige Integration und Nutzererfahrung
Auf dem Arbeitsplatzrechner wird lediglich ein schlanker Viewer-Client benötigt, der die Bildschirmübertragung des remote laufenden Browsers darstellt. Für den Nutzer wirkt die Bedienung nahezu identisch mit einem lokal installierten Browser. Downloads werden über definierte, kontrollierte Transferpunkte geleitet, wo sie vor der Weitergabe ins interne Netz gescannt werden können. Diese Architektur lässt sich in bestehende Active-Directory-Umgebungen und Behörden-IT-Infrastrukturen integrieren, ohne grundlegende Änderungen am Arbeitsplatzkonzept zu erfordern.
Was unterscheidet eine Common-Criteria-zertifizierte Lösung von einer nicht zertifizierten?
Eine Common-Criteria-Zertifizierung (CC) belegt, dass eine Sicherheitslösung nach einem international anerkannten Standard durch eine unabhängige Prüfstelle evaluiert wurde. Für Behörden bedeutet dies den Nachweis, dass die Sicherheitsfunktionen des Produkts nachweislich so implementiert sind, wie der Hersteller es beansprucht, und dass keine wesentlichen Schwachstellen im Evaluierungsumfang bekannt sind.
Nicht zertifizierte Produkte können technisch gleichwertig sein, bieten jedoch keinen unabhängig verifizierten Nachweis ihrer Sicherheitseigenschaften. Für Behörden, die BSI-Vorgaben oder Anforderungen aus dem IT-Grundschutz erfüllen müssen, ist eine CC-Zertifizierung häufig keine Kür, sondern eine Pflicht. Die Evaluierungsstufe spielt dabei eine wichtige Rolle:
- EAL1 bis EAL3: Grundlegende bis methodisch getestete Sicherheitsfunktionen
- EAL3+ (mit Augmentierungen): Methodisch getestet und überprüft, mit zusätzlichen Anforderungen an Design und Entwicklungsprozess
- EAL4 und höher: Semiformale und formale Verifikation, typisch für Hochsicherheitsanwendungen
Für den praktischen Einsatz in Behörden ist EAL3+ ein anerkanntes Niveau, das die Anforderungen des BSI für viele Einsatzszenarien erfüllt. Entscheidend ist zudem, dass die Zertifizierung regelmäßig erneuert wird, da veraltete Zertifikate keine aktuellen Sicherheitseigenschaften belegen.
Wann reicht eine BSI-konforme Internetanbindung allein nicht aus?
Eine technisch sichere Internetanbindung schützt zuverlässig vor browserbasierten Angriffen von außen, deckt jedoch nicht alle relevanten Angriffsvektoren ab. Organisatorische Schwachstellen, Social Engineering, kompromittierte USB-Geräte oder unsichere interne Systeme liegen außerhalb des Schutzbereichs eines Internet-Gateways.
In der Praxis zeigt sich, dass ein sicheres Internet-Gateway besonders dann an seine Grenzen stößt, wenn:
- Mitarbeitende keine ausreichende Sensibilisierung für Phishing oder Social Engineering erhalten haben
- interne Systeme nicht regelmäßig gepatcht werden und eigene Schwachstellen aufweisen
- mobile Endgeräte oder Heimarbeitsplätze außerhalb der gesicherten Infrastruktur betrieben werden
- Drittanbieter oder Dienstleister unkontrollierten Zugriff auf interne Systeme erhalten
- keine strukturierte Risikoanalyse vorliegt, die den tatsächlichen Schutzbedarf der Behörde abbildet
Ein ganzheitliches Sicherheitskonzept verbindet daher technische Maßnahmen wie ReCoBS mit organisatorischen Maßnahmen, regelmäßigen Sicherheitsanalysen und der Schulung von Mitarbeitenden. Nur so lässt sich das Sicherheitsniveau einer Behörde dauerhaft auf dem erforderlichen Stand halten.
Welche Schritte sind für die Einführung einer BSI-konformen Lösung nötig?
Die Einführung einer BSI-konformen Internetanbindung folgt einem strukturierten Prozess, der mit einer Bestandsaufnahme beginnt und über Planung, Implementierung und Schulung bis zur laufenden Betriebsüberwachung reicht. Eine überstürzte Einführung ohne vorherige Analyse führt häufig zu Lücken im Schutzkonzept oder zu Akzeptanzproblemen bei den Nutzenden.
- Schutzbedarfsfeststellung: Ermitteln Sie, welche Daten und Systeme besonders schützenswert sind und welche gesetzlichen oder behördeninternen Anforderungen gelten.
- Risikoanalyse: Identifizieren Sie bestehende Schwachstellen in der aktuellen Internetanbindung und bewerten Sie das Gefährdungspotenzial systematisch.
- Lösungsauswahl: Wählen Sie eine zertifizierte Lösung, die den BSI-Anforderungen entspricht und in die bestehende IT-Infrastruktur integrierbar ist.
- Pilotbetrieb: Testen Sie die Lösung in einer kontrollierten Umgebung mit einer ausgewählten Nutzergruppe, bevor Sie sie behördenweit ausrollen.
- Schulung und Dokumentation: Stellen Sie sicher, dass Administratoren und Nutzende die neue Lösung korrekt bedienen und dokumentieren Sie die Konfiguration für Audits.
- Laufende Überwachung: Etablieren Sie Prozesse für regelmäßige Überprüfungen, Patch-Management und die Erneuerung von Zertifizierungen.
Besonders bei Behörden mit komplexen Netzarchitekturen empfiehlt sich die Einbindung externer Fachleute bereits in der Planungsphase, um Fehler bei der Netzsegmentierung oder der Firewall-Konfiguration zu vermeiden.
Wie m-privacy GmbH Behörden bei der sicheren Internetanbindung unterstützt
Wir bei m-privacy GmbH begleiten Behörden und öffentliche Einrichtungen auf dem gesamten Weg zu einer BSI-konformen Internetanbindung, von der ersten Risikoanalyse bis zum zertifizierten Betrieb. Unser Angebot umfasst konkret:
- TightGate-Pro: Unsere ReCoBS-Lösung, rezertifiziert nach Common Criteria EAL3+ durch das BSI im Jahr 2026, trennt den Webbrowser physisch vom Arbeitsplatzrechner und schützt so Ihr internes Netz zuverlässig vor Internetbedrohungen.
- Risikoanalysen und Security Audits: Wir analysieren Ihre bestehende IT-Infrastruktur methodisch und identifizieren Schwachstellen, bevor sie ausgenutzt werden können.
- Schulungen für Mitarbeitende und Administratoren: Wir vermitteln praxisnahes Wissen zu IT-Sicherheit und datenschutzkonformen Verfahrensweisen direkt in Ihrer Behörde.
- Externer Datenschutzbeauftragter: Als Alternative zur internen Stabsstelle übernehmen wir die Funktion des betrieblichen Datenschutzbeauftragten und stellen die Einhaltung aller relevanten Vorgaben sicher.
- Ganzheitliche Beratung: Von der Planung über die Implementierung bis zur laufenden Betreuung stehen wir als verlässlicher Partner an Ihrer Seite.