Forderungskatalog Smartphones: BSI will Diskurs mit Herstellern

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat heute einen Anforderungskatalog (PDF-Download) veröffentlicht, der auf knappen 10 Seiten Sicherheitskriterien und technische Anforderungen listet, die Smartphones im Auslieferungszustand und darüber hinaus erfüllen sollten.

Der Katalog soll nach Angaben des BSI Ausgangspunkt für einen öffentlichen Diskurs mit Herstellern und Erstausrüstern, Netzbetreibern und Zivilgesellschaft dienen.

Welche Sicherheitskriterien sollten #Smartphones im Auslieferungszustand und darüber hinaus erfüllen? Als Diskussionsgrundlage dient unser neuer Anforderungskatalog zur Entwicklung von Sicherheitsanforderungen für Smartphones. #DeutschlandDigitalSicherBSI https://t.co/eKfhQ2e8U9 pic.twitter.com/1tYmKNcuqJ

— BSI (@BSI_Bund) February 25, 2020

Angestrebt ist die Beteiligung aller gesellschaftlichen Gruppen bei der Fortentwicklung der Anforderungen, die zukünftig in Richtlinien für die Erteilung des von der Bundesregierung geplanten IT-Sicherheitskennzeichens für Smartphones einfließen sollen.

BSI-Präsident Arne Schönbohm erklärt:

„Smartphones haben sich in den letzten Jahren zur Schaltzentrale entwickelt, über die wir immer mehr Alltagsvorgänge steuern und abwickeln. Unsichere Smartphones können somit sehr schnell sehr reale negative Auswirkungen haben. Verbraucherinnen und Verbraucher sollten sich darauf verlassen können, dass ein Smartphone bereits beim Kauf eine Grundausstattung an IT-Sicherheit enthält, so dass sie die Möglichkeiten der Digitalisierung möglichst reibungslos nutzen können. Hersteller und OEM sind daher aufgerufen, die Geräte so sicher zu machen wie möglich, und zwar von Anfang an und über eine gewisse Nutzungsdauer hinweg. Unser Anforderungskatalog ist ein Wegweiser zu mehr Security-by-Design und Security-by-Default“

Der Anforderungskatalog liegt in einer deutschen und einer englischen Version vor und fordert unter anderem:

• Update-Fahrpläne: Zu jedem Gerätetyp muss eine Aussage über die Versorgung mit Betriebssystem-Updates (Hauptversionen) gemacht werden. Diese Erklärung muss die Zeitdauer der Unterstützung in Jahren nach der Veröffentlichung sowie die Mindestanzahl der geplanten Hauptversionen enthalten.
• Sicherheitsupdates für 5 Jahre: Geräte müssen über die Dauer von 5 Jahren nach Geräteveröffentlichung mit Sicherheits-Updates versorgt werden. Aus der Gerätebeschreibung muss klar ersichtlich sein, ab wann ein Gerät aus der Versorgung mit Sicherheits-Updates herausfällt.
• Geräte-Vollverschlüsselung: Geräte müssen mit einer Vollverschlüsselung (full disk encryption) für den internen, fest verbauten Speicher ausgerüstet sein. Das für die Verschlüsselung verwendete Schlüsselmaterial muss neben dem Nutzerkennwort auf einem gerätespezifischen, individuellen Merkmal aufbauen
• Keine vorinstallierten Drittanbieter-Apps: In der Systempartition dürfen nur Apps installiert sein, die spezielle (System-) Berechtigungen benötigen (Beispiel: Signature-Permission bei Android). Demgegenüber dürfen Standard-User-Apps, wie beispielsweise der Hersteller-eigene Browser oder Drittanbieter-Apps, dort nicht installiert sein.