Auf Mastodon teilen

Antrag nach dem Informationsfreiheitsgesetz NRW, UIG NRW, VIG Sehr geehrte<< Anrede >> bitte senden Sie mir Folgendes zu:

Ich bin zurzeit nicht im Haus. Nach meiner R?ckkehr werde ich Ihre E-Mail gerne beantworten. Freundliche Gr??e Im Auftrag Andrea Kames

Sehr geehrter Herr Koch, trotz Ihrer Einwände kann ich Ihnen die erbetenen Informationen nicht zukommen lassen. Wie bereits mitgeteilt ist das angefragte Mailsystem Bestandteil der Sicherheitsinfrastruktur zur Absicherung des Landesverwaltungsnetzes. Über das Landesverwaltungsnetz werden u.a. Tätigkeiten der Polizei, des Verfassungsschutzes, der Staatsanwaltschaften und der Behörden des Straf- und Maßregelvollzugs vollzogen. Gemäß §6 IFG NRW sind Anfragen abzulehnen, wenn das Bekanntwerden der angefragten Informationen diese Tätigkeiten beeinträchtigen könnten. Informationen zur Sicherheitsinfrastruktur, und hier insbesondere die Infrastruktur zur Absicherung der Zugänge zum Landesverwaltungsnetz, sind grundlegend dazu geeignet potenzielle Angriffe gegen das Landesverwaltungsnetz und damit gegen die Tätigkeiten der oben genannten Behörden vorzubereiten. Hierzu gehören insbesondere auch Informationen zu den eingesetzten Softwareprodukten und deren Versionsstände. IT.NRW sichert die Sicherheitsinfrastruktur des Landesverwaltungsnetzes nach besten Wissen und Gewissen ab. Hierzu zählt auch die regelmäßige Aktualisierung der eingesetzten Softwareprodukte. Hinzu kommen wiederkehrende interne und externe Penetrationstests, die die Sicherheit der Infrastruktur überprüfen. Diese beiden Maßnahmen können aber nicht sicherstellen, dass auch in den aktuellen Versionen der Softwareprodukte der Öffentlichkeit unbekannte Sicherheitslücken (Zero-Day) enthalten sind. Eine solche Zero-Day-Lücke muss erst durch Sicherheitsforscher, Anwenderinnen und Anwender, durch den Hersteller oder im Rahmen unabhängiger Analysen erkannt werden, bevor absichernde Maßnahmen ergriffen werden können. In der Zwischenzeit ist ein Missbrauch dieser unbekannten Lücken möglich. Nach Bekanntwerden einer Lücke muss der Hersteller einen entsprechenden Patch zu Korrektur entwickeln und bereitstellen. Die Geschwindigkeit, in der ein solcher Patch bereitgestellt wird, kann durch IT.NRW nicht beeinflusst werden. Sofern es sich um eine öffentlich bekannte Lücke handelt, prüft IT.NRW aber die Umsetzung von zusätzlichen Maßnahmen, um den möglichen Missbrauch einer Lücke zu verhindern bzw. einzuschränken. Zero-Day Lücken werden mittlerweile im Rahmen eines Marktes gehandelt und teilweise an den Meistbietenden verkauft. Hierzu zählen neben kriminellen Organisationen oder Einzelpersonen auch staatliche Einrichtungen von Drittstaaten. Diese könnten die dann öffentlich bekannten Informationen nutzen, um dem Land Nordrhein-Westfalen oder der Bundesrepublik Deutschland Schaden zuzuführen. Im Sinne der Absicherung des Landesverwaltungsnetzes werden die entsprechenden Systeme deshalb außerdem systemtechnisch überwacht, um z.B. ein geändertes Lastverhalten erkennen zu können, das auf einen Missbrauch hinweisen kann. Diese Überwachung erfolgt auf technischen Performance- sowie Fehlerdaten und wertet keine personenbezogenen Daten aus, sodass dies im Einklang mit der EU Datenschutzgrundverordnung erfolgt. Weitere Details zur Überwachung können nicht mitgeteilt werden, da diese Informationen ebenfalls für die Vorbereitung eines Angriffs geeignet sind. Mit freundlichen Grüßen