Die österreichische Handy-Signatur – Vorzeigeprojekt mit Sicherheitslücken? Interview mit Reinhard Posch, CIO der öst. Bundesregierung?

Die österreichische Handy-Signatur gilt weltweit als Erfolgsgeschichte und Vorzeigeprojekt im Bereich des e-Government und der elektronischen Partizipationsmöglichkeiten für BürgerInnen. In den letzten Wochen wurde plötzlich Kritik laut rund um vermeintliche Sicherheitslücken. Wir hatten dazu im Blog ein Interview mit Wolfgang Prentner, der in einem ZIB2 Bericht Schwächen in der Sicherheitsarchitektur der Handy-Signatur anprangerte. Aufgrund der Unsicherheit, die der Medienlärm verursacht hat und dem hohen Interesse unserer Leser haben wir uns um eine Stellungnahme der Verantwortlichen bemüht. Lesen Sie nun was Prof. Reinhard Posch meint, der CIO der österreichischen Bundesregierung. Was macht den bisherigen Erfolg der Handy-Signatur aus? Welchem Risiko sind die Anwender der Handy-Signatur tatsächlich ausgesetzt? Inwieweit besteht Handlungsbedarf?

Welche Anforderungen bringt der Digitale Wandel an die Öffentliche Verwaltung und insbesondere an die IT?

Bereits 2015 wurden mehr mobile Geräte als PCs und Workstations auf den Markt gebracht. Dieser Trend wird nicht nur anhalten, sondern verstärkt zu beobachten sein. Die Verwaltung kann sich solchen Trends nicht verschließen, sondern muss diese Anforderung an die Agilität der Services annehmen. Sicherheit darf dabei nicht auf der Strecke bleiben und bei proaktiven Strategien, für die Österreich seit 15 Jahren international bekannt ist und im E-Government als Vorreiter gilt, kann dies auch im Sinne eines Sicherheitsfortschritts genutzt werden.

Die Handy-Signatur gilt als eine der Erfolgsgeschichten des e-Government und findet international Anerkennung – Was macht den Erfolg der Lösung tatsächlich aus?

Österreich ist nicht nur bekannt und anerkannt mit der Handy-Signatur, sondern es hat diese innovative Form von Sicherheitstechnologie auch explizit in der neuen EU-Verordnung eIDaS Niederschlag gefunden. Erreichbar wurde dies durch den Konzept und Produktzyklus, den Österreich im E-Government eingeführt hat und der in den Basiselementen (Portalverbund, Handy-Signatur, ….) nun auch flächendeckende Wirkung zu zeigen beginnt. Der Zyklus reicht in einer abgestimmten Strategie von der offenen Innovation über die Verwaltungsebenen übergreifenden Koordination und Abstimmung hin zur Umsetzung.

Im Falle der Handy-Signatur ist dies ein koordiniertes Zusammenwirken von Technologie- und Verhaltensaspekten, die nicht nur die Akzeptanz im privaten Bereich auf das Vielfache der Karte als Signaturtoken gesteigert hat, sondern aus dem Design heraus auch bedeutende Sicherheitsfeatures hinzugebracht hat. Dazu nachfolgend nur exemplarisch herausgegriffene Beispiele.

·         Verlust und Widerruf: Der Verlust, das Entwenden des Mobiltelefons wird aller Regel nach innerhalb von ein paar Stunden evident und damit ist dieser zeitliche Risikofaktor gegenüber einer Karte – auch einer Multifunktionskarte –, die oft über Tage hinweg ungenutzt und damit ein Verlust unerkannt bleibt, um einen Faktor verbessert.
·         Der Widerruf selbst hat totale Wirkung, da nicht nur der Widerruf im Verzeichnis als Information erfolgt, sondern zusätzlich der Signaturschlüssel nicht mehr verwendet werden kann bzw. vernichtet wird.
·         Mit dem Smartphone besitzt jeder eine „intelligente Tastatur“. Dies wurde im Kartenumfeld immer wieder versucht; intelligente Tastaturen haben sich aber aus Usability und Preisgründen nicht durchsetzen können. Mit der QR-APP als kryptographisch gesicherten, technisch an das initialisierte Gerät gebundenen SMS-Ersatz kommt dieser Effekt nicht nur zum Nulltarif, sondern bringt zusätzlichen Komfort, den die BenutzerIn an Bedürfnisse anpassen kann.

Welche Rolle spielt die Handy-Signatur beim österreichischen e-Government? Wie sehen die Perspektiven aus?

Qualifizierte Signatur als EU-weit anerkanntes Sicherheitstool ist zur Zeit Kernbestandteil des österreichischen E-Government und hat uns bereits seit 2010 in die Lage versetzt, den grenzüberschreitenden Bedarf genauso wie den nationalen Bedarf einzusammeln. Ohne dieses Sicherheits- und Datenschutzkonzept wäre uns der Vorsprung im Bereichen wie z.B. ELGA nicht gelungen – und dies wird nicht nur in Österreich so gesehen. Stetig steigende Nutzerzahlen und vor allem Nutzungen sowie Applikationen, die darauf abstellen, sind ein lebender Beweis dafür. Qualifizierte Heranführung der BürgerInnen und der Unternehmen an die Verwaltung sind Grundvoraussetzung für hohe Qualität der Daten und der Verfahren in der Verwaltung. Die Handy-Signatur ist dabei ein Grundpfeiler.

In den letzten Wochen wurde die Sicherheitsarchitektur der Handy-Signatur in den Medien stark kritisiert – Wie gefährdet sind Handy-Signatur Nutzer tatsächlich?

Auch wenn diese Situation medial sehr prominent aufgegriffen wurde, sind sich alle anerkannten Fachleute einig, dass darin keine neuen Erkenntnisse stecken. Die Grundproblematik „Phishing“ ist in IT-Zeiträumen gerechnet uralt und wurde in wesentlich ausgefeilterer Form als hier schon vor Jahren am BSI-Kongress diskutiert. Würde dieser Hinweis nicht allzu sehr einer Anleitung oder gar einem Anstiften nahekommen, könnten wir diese sogar als Beitrag zur User-Awareness begrüßen. Dieser Effekt scheint aber weder intendiert noch unintendiert hinüberzukommen. Die Sicherheitsarchitektur wurde in meinen Augen, da der aufgezeigte „Angriff“ nicht spezifisch auf die Handy-Signatur wirkt und auch kein Architekturelement ausnutzt, nicht wirklich angesprochen. Der so genannte Angriff wäre vergleichbar mit einem Pappkartonbankomaten, wo Sie ihre Karte stecken, PIN eingeben und dann eine falsche Karte mit dem Hinweis „funktioniert leider nicht“ zurückbekommen. Auch hier – und solche Fälle gab es vor Jahren im Ausland auf Autobahnstationen - ist Ihre Bank oder Ihr Kartenbetreiber nicht beteiligt und wird kaum Maßnahmen – mit Ausnahme der immer notwendigen Awareness - treffen können. Ein Unterschied ist allerdings hervorzuheben: Der „Betreiber des gefälschten Bankomaten“ wird nicht seinen gültigen Lichtbildausweis vorne auf den Bankomaten kleben, da Verbrecher sich eben nicht gerne ausweisen. Aber genau das müsste beim aufgezeigten Angriff geschehen, da die Handy-Signatur nur über https-Verbindungen - über Ausweise von Servern, die von anerkannten Zertifizierungsdiensteanbietern ausgegeben werden – funktioniert und daher diese Phishing-Attacke – wie das übrigens auch in der in den Medien vorgezeigten der Fall war – eine https-Verbindung aufbauen muss, um nicht sofort aufzufallen.

Welche Maßnahmen sind von Seiten der Verwaltung angedacht? Was müssen Nutzer beachten?

Wie gesagt, ist die Attacke nicht auf die Handy-Signatur abgestimmt und nutzt auch „keine Schwachstelle derselben“ aus. Natürlich muss man – und das machen auch die Banken regelmäßig – dem Benutzer sagen: Klicken eines Link in einer Mail ist ein großes Sicherheitsrisiko, weil man sich damit in den Bereich des oft gar nicht erkennbaren Absenders der Mail begibt und sich diesem ausliefert. Man muss sich schon die Mühe machen, solche Links abzutippen – zumindest einmal, dann kann man sie in die Lesezeichen geben, sofern man bei den Lesezeichen tatsächlich nur vertrauenswürdige Links verwaltet.

Die ohnehin bereits seit einiger Zeit festgelegte Kommunikationsstrategie ist, Benutzer zur weiteren Verbesserung anzuraten, auf die QR-APP, die seit einigen Monaten als zusätzliche Möglichkeit angeboten wird, umzusteigen. Dort kann man auch die ausgelöste Transaktion – z.B. Anmeldedetails bei Finanz-Online mit Bürgerkarte – unmittelbar vor Freigabe und damit ohne Sicherheitsrisiko über den zweiten, unabhängigen Smartphonekanal anzeigen. Generell muss man den BenutzerInnen sagen, dass abgebrochene – also irreguläre – Sitzungen bei jeder Internetanwendung ein gewisses Verdachtsmoment auslösen sollten. Ich mache in einem solchen Fall einen Screenshot von der Abbruchssituation. Im Streitfall – der behauptete Angriff ist ohnehin nur dann nutzbar, wenn der Angreifer mit der Behauptung eines signierten Dokumentes auftritt – könnte man die Logs der Handy-Signatur anfordern. Der Zeitpunkt ist mitsigniert und kann ohnehin nicht verändert werden. Da allerdings dieses Phishing zweimalige Identifikation des Angreifers erfordert – einmal bei der http-Verbindung des Phishing und einmal bei der Nutzung des signierten Dokumentes, können wir die Einschätzung des Risikos nicht teilen und die Tatsache, dass dieses Thema vor einiger Zeit auch öffentlich nachvollziehbar diskutiert wurde und dass es keinen Beschwerdefall, der dazu passt gibt, führt uns zu einer gänzlich anderen Einschätzung der Gefährdungslage.

Wie geht es weiter dem österreichischen e-Government?

eIDaS bringt neben eID und Signatur weitere Elemente. Hier werden wir uns gut überlegen müssen, wie wir daraus Nutzen erzielen können. Dies wird auch von den Synergien mit anderen Mitgliedsstaaten abhängen. Die große Herausforderung ist das Schritthalten mit den Entwicklungen in mobilen Bereich und im Sicherstellen der Attraktivität. Diese Attraktivität muss unter Beibehalten der Grundmauer und damit der Building Blocks der österreichischen E-Government Infrastruktur erreicht werden. Nur so kann das hohe Vertrauen in die Sicherheit und das effiziente Funktionieren und die Motivation aller Beteiligten erhalten bleiben.

Auf der Confare Veranstaltung #Digitalize 2016 treffen Sie u.a. Christian Rupp, Sprecher der Plattform Digitales Österreich aus dem Bundeskanzleramt. Anmeldung und Details auf www.confare.at

Wie sicher ist Österreichs Handy-Signatur wirklich? Experteninterview zu Sicherheitslücken und was Sie beachten müssen.

Am 30. Mai berichtete die ZIB2 umfassend über die gelungene Hacking-Attacke österreichischer Sicherheitsexperten gegen die Handy-Signatur, die bei zahlreichen E-Services von Unternehmen und Ämtern zum Einsatz kommt. In einem Webinar zeigen wir mit den Experten von ZTP wie die Attacke im Detail funktioniert, was die gefundenen Sicherheitslücken konkret für Sie bedeuten und wo Handlungsbedarf besteht. Im Blog-Interview bezieht Experte Wolfgang Prentner Stellung.

Wie sieht die Anwendung der Handy-Signatur derzeit aus?
Die Handy-Signatur ist puncto Akzeptanz mit über 640.000 Benutzern und über 200 E-Services mittlerweile eine Erfolgsgeschichte in Österreich – während die Benutzeranzahl bei den chipkartenbasierenden qualifizierten elektronischen Signaturen stagnieren, steigt die Benutzerzahl der Handy-Signaturen stark an.

Wie sicher ist die Handy-Signatur tatsächlich?
Die Handy-Signatur ist grundsätzlich eine erprobte Technologie, wenn sie richtig eingesetzt wird. Bei der österreichischen Handy-Signatur hat sich aber zumindest ein gravierender Fehler in der Sicherheitsarchitektur eingeschlichen, der das Phishing nach Handy-Signaturen, also die Fälschung von rechtsverbindlichen elektronischen Signaturen, ermöglicht.

Was bedeutet das für Service-Betreiber und Anwender?
Im März dieses Jahres wurden über 124.000 neue Phishing Websites gezählt. Die Phishing Problematik im E-Government mit derzeit über 200 E-Services wird 100-mal höher als wie z.B. beim Internet-Banking eingeschätzt. Warum? Ein Bürger hat 1 bzw. 2 Internet-Banking Anwendungen in Verwendung. Ein Bürger kann aber über 200 E-Government Services in ganz Österreich nutzen, daher der Faktor 1:100 was die Gefährdung durch Phishing Angriffe auf die österreichische Handy-Signatur betrifft und massiv erhöht. Für Service-Provider und dessen Kunden heißt dies konkret - erhöhte Achtung vor vermeintlichen E-Mails, damit nicht Signatur-Daten gephished werden  um sie dann missbräuchlich zur z.B. Unterfertigung von rechtsverbindlichen Verträgen durch Kriminelle zu verwenden.

Welche Maßnahmen müssen daher getroffen werden?

Von Seitens der (1) Anbieter von Handy-Signaturen müssen dringend einige Sicherheitsmaßnahmen korrigiert und verbessert werden. Die (2) Anbieter in Österreich von Handy-Signatur Login Lösungen, derzeit über 200 E-Services, müssen darauf achten, dass ihre Webseiten nicht gefälscht und zum Phishing nach Signaturen missbräuchlich verwendet werden und (3) die Bürger und Mitarbeiter von Betrieben und Behörden müssen darauf achten, dass Sie nicht Phishern auf den Leim gehen, sprich Ihre Signaturen missbräuchlich verwendet werden.

Wie Hacking gegen die Handy-Signatur aussehen kann und wie Sie sich schützen erfahren Sie in unserem Webinar mit Sicherheits-Profi Wolfgang Prentner. Sichern Sie rechtzeitig Ihre Teilnahme:

Webinar Termine:
Do. 2. Juni 2016, 14.15h  Do. 9. Juni 2016, 9.15h
Handy-Signatur Phishing - Ursachen, Folgen und mögliche Maßnahmen
Anmeldung: https://www.ztp.at/acsa

„Der CIO muss Communities bilden!“ - #TopCIO Ulrike Huemer, Stadt Wien über die menschlichen Aspekte des IT-Managements und die Rolle des CIO bei der Digitalisierung

Mit ihrem Engagement für die Initiative „Digital City Wien“ setzt Ulrike Huemer Zeichen für die Bedeutung der IT für die Stadt und den Wirtschaftsstandort Wien. Den Stellenwert der IT zu unterstreichen ist auch einer der wichtigen Aspekte beim Confare CIO AWARD. Ulrike Huemer ist nach einer Nominierung durch ihre Mitarbeiter und Kollegen aussichtsreiche Kandidatin für die Auszeichnung als TopCIO und den CIO AWARD 2016.
Im Bloginterview zur Rolle der IT auf dem Weg zur Smart City Wien und wie man mit dem Veränderungsdruck als CIO umgeht.

Welche Rolle spielt die IT bei der Digitalisierung der Verwaltung? Wo sind dabei die Handlungsfelder des CIO?

Wir alle wissen, dass die Digitalisierung sämtliche Lebensbereiche verändert: die Wirtschaft, die Gesellschaft und natürlich auch die öffentliche Verwaltung. Wir sprechen daher auch von Verwaltung 4.0, der Digitalisierung und Individualisierung der Verwaltung und viel stärkeren Ausrichtung an den Bedürfnissen der Bürgerinnen und Bürger. Die IT spielt daher eine zentrale Rolle in der öffentlichen Verwaltung. Der CIO hat neben den typischen Aufgaben eines IT-Verantwortlichen nunmehr die wesentliche Aufgabe Geschäftsprozesse und IT bestmöglich miteinander abzustimmen und in Einklang zu bringen und damit einen Beitrag zu höherer Effizienz und Effektivität zu leisten. Ferner kann und soll ein/eine CIO technologische Innovation in die öffentliche Verwaltung bringen und nutzbar machen.

Der Veränderungsdruck ist hoch – in der IT, aber auch für Anwender und letztendlich auch für den Bürger – Wie gehen Sie mit Veränderungen um und was sind dabei die Erfolgsfaktoren?
Veränderungen machen Angst und erzeugen im schlimmsten Fall Widerstand! Wichtig ist es daher offen zu kommunizieren und Veränderung transparent zu machen! Technologie verständlich zu machen und den Nutzen hervor zu heben! Wichtig ist es die Betroffenen mitzunehmen und sie einzubeziehen. Es gilt Communities zu bilden, um gemeinsam Veränderungen zu bewältigen und als Chance zu erkennen!

Wie wichtig ist der menschliche Faktor bei der Aufgabe des CIOs? Wo sehen Sie da die Kernherausforderungen und welche Ratschläge würden Sie Kollegen dabei geben?

Wie in allen Bereichen ist der menschliche Faktor der wesentliche Faktor! Es geht darum zu motivieren, zu mobilisieren, zu kommunizieren, mutig zu sein, Verantwortung zu übernehmen, im Team zu agieren und vor allem selber Spaß an der Innovation und Veränderung zu haben.

Welche Fähigkeiten muss ein #TopCIO vereinen?

Gute Kenntnisse der Geschäftsprozesse, gute Kenntnisse der Stakeholder, gute Kenntnisse der Teamplayer! Darüber hinaus die Fähigkeiten Trends einschätzen zu können und diese nutzbar zu machen! Mut, Kreativität, Innovationskraft, Motivationskraft, Begeisterungsfähigkeit und sich ein gutes Team auf- und auszubauen, das über hohe fachliche Kompetenzen in sämtlichen Bereichen die IT verfügt.

Was sind Ihre nächsten Ziele?

Neben der Digitalen Agenda Wien, der Digitalisierungsstrategie der Stadt Wien, wird eine IT-Strategie im engeren Sinn bis längstens Ende 2016 zu erarbeiten. 2016 werden die Breitbandstrategie und die Cloudstrategie vorliegen! Ferner wird bis zum Schulbeginn 2016 mindestens eine App aus unserer Digitalen Agenda Wien umgesetzt sein. Und wichtig ist mir, dass die Digital City auch im Jahr 2016 wieder viele tolle Veranstaltungen durchführt und der IT Standort Wien immer stärker als etwas ganz Wertvolles wahrgenommen wird.

Welche Bedeutung hat für Sie der Confare CIO AWARD? Warum ist es wichtig, die besten IT-Manager auszuzeichnen und was bedeutet die Auszeichnung für Sie selbst?

Der CIO Award macht das Engagement von CIOs sichtbar und unterstreicht, wie wichtig die IT für die Unternehmen und deren Kundinnen und Kunden ist.

Der Confare CIO AWARD wird auf dem 9. CIO & IT-Manager Summit am 6/7. April von Confare in Zusammenarbeit mit EY und dem CIO Guide verliehen. Bereits 300 hochkarätige IT-Entscheider haben sich angemeldet – Sichern Sie sich Ihre Teilnahme auf www.ciosummit.at – diese ist für CIOs und IT-Manager kostenlos.

Wie reif ist Osterreichs Wirtschaft für das digitale Business?

Diese Frage stellen die Experten aus dem Hause Software AG und wir von Confare im Vorfeld des 8. CIO & IT-Manager Summits im Zuge unseres DIGITAL BUSINESS ASSASSMENTs 2015. Ihr Input ist gefragt – in wenigen Minuten haben Sie den Fragenkatalog durch und erhalten im Gegenzug kostenlos die Studienergebnisse.

Link zum DIGITAL BUSINESS ASSESSMENT 2015 

Was sind die 4 Eckpfeiler eines DIGITALEN Unternehmens?

Die Ergebnisse der Studie werden auf dem CIO SUMMIT dem Publikum vorgestellt. In den Vorbereitungen haben wir ein Gespräch geführt mit Christoph Strnadl. Er ist anerkannter Experte rund um das Management von Prozessen und beschäftigt sich in großen internationalen Beratungsprojekten mit den Voraussetzungen für Erfolg im Digitalen Business.

Wie sehr ist die Digitale Business Transformation eine CIO Aufgabe?

„Software eats the world“ ist eine der zahlreichen Charakterisierungen der Digitalen Transformation. Fakt ist, dass tatsächlich die IT der Treiber und Motor dieser Transformation ist, da diese Veränderung des Geschäfts naturgemäß gerade durch und mit digitalen Technologien erfolgt. Damit ist die Digitale Business Transformation auf jeden Fall auch CIO Aufgabe.

Aber „beruhen auf“ heißt nicht „identisch sein mit“. Und genauso wenig, wie ein Motor allein weiß, wo er hinfahren soll, genauso wenig, wie der (Halb-) Wilde auf seiner Maschin‘ (© Qualtinger) eine Ahnung hat, wo er hin fährt (Hauptsache, er ist schneller dort), genauso wenig reicht der CIO alleine aus, um diese Transformationsleistung zu erbringen: Er oder sie braucht dazu ein Gegenüber auf Augenhöhe, eine (oder einen) CEO oder einen CSO (Chief Sales Officer) oder CxO, der mit ihr (oder mit ihm) gemeinsam das Ziel dieser Transition in ein Digitales Business plant, eine geschäftsrelevante digital Vision konzipiert und dann ein entsprechendes Veränderungsprojekt exekutiert.

Man könnte so ein Vorgehen auch „Co-creation“ (gibt es dafür ein passendes deutsches Synonym?) nennen, aber es sind wohl in der Tat zwei Rollen – Geschäft und Technologie – von Nöten, um beide Perspektiven miteinander versöhnen zu können.

Was sind die Kernbereiche, die im Digital Business Assessment erhoben werden? Was macht ein Unternehmen reif für die Digitalisierung?

Jede Veränderung setzt an einem Status Quo („Present Mode of Operation“, Ist-Zustand) an und versucht, einen erstrebenswerten Zielzustand, eine Vision zu realisieren („Future Mode of Operation“, Soll-Zustand). Dazwischen liegt das Projekt, der „Transition State“, in der diese Veränderungsarbeit passiert. Das ist auch bei der Digitalen Transformation nicht anders. Der Aufwand dieser Veränderung hängt daher von der Ausprägung des Ist-Zustands ab (Wie nahe oder wie weit weg vom Zielzustand ist er) und von der Art und Weise, wie in dem betrachteten Unternehmen Veränderungen gemanagt und realisiert werden. Und genau diese beiden Dimension erheben wir: Den Status Quo und die Transformationsfähigkeit.

Beim Status Quo gehen wir unter anderem darauf ein, wie flexibel und reaktionsfähig ein Unternehmen hinsichtlich seiner Prozesse und seiner IT aufgestellt ist, aber auch wie gut es seine Prozesse und Geschäftsobjekte „managed“ und „im Griff“ hat.

Die Transformationsfähigkeit wiederum wird stark durch den Reifegrad des Business/IT-Alignments, der Ausrichtung von Fachbereichsstrategie und IT-Strategie, und den für diesen Steuerungsprozess verwendeten Verfahren und Tools bestimmt.

Wie kann die strategische Abstimmung erfolgen, um gemeinsam erfolgreich zu sein?

Es ist sehr schwierig bzw. durchaus aufwändig, die digitale Veränderungen zu planen, wenn man keinen (oder nur einen geringen) Überblick über sein aktuelles IT Portfolio (Applikationen, Systeme, IT-Prozesse, IT-Kosten, IT-Leistungen) hat. Da im Digitalen Unternehmen die IT (wie oben schon angedeutet) der „Motor“, also der Betreiber der digitalen Prozesse und der Hüter der digitalen Assets sein sollte, würden eigentlich sehr klassische Ansätze im Bereich IT Portfolio Management eine sehr gute Ausgangsbasis für die gemeinsame Diskussion des CIOs mit einem CxO Gegenüber aus dem Fachbereich bilden. Da digitale Prozesse (wie schon vor 15 Jahren vor der Internet-Bubble: Ich erinnere an das Phänomen der Dis-Intermediation ;-) tendenziell ihre massiven Vorteile ausspielen, wenn sie applikations- und organisationsübergreifend ablaufen, kommt es bei der strategischen Planung eher auf den Überblick, auf die Zusammenhänge, auf die Architektur an und weniger auf jedes Detail im Java Code oder im Storage Server.

Auch schwierig für etliche Unternehmen: Man sollte seine eigenen Prozesse kennen – sonst wird es eher schwierig, diese in Richtung digitale Prozesse mit digitalen Assets (siehe nächste Frage) zu verändern. Und da man – wie wir alle seit den 1990er Jahren wissen –Prozesse nicht wirklich sehen oder angreifen kann, braucht es geeignete Darstellungsformen (um nicht zu sagen: Modelle), um diese Elemente sichtbar und damit überhaupt erst gestalt- und veränderbar zu machen. Wenn ich nicht weiß, wo ich heute welche „klassischen“ (also nicht digitalen) Interaktionspunkte mit meinem Kunden habe: Wie wollte ich dann diese „digitalisieren“?

Was sind die Assets, die im Unternehmen vorhanden sein müssen?

Obwohl es keine allgemeingültige Definition eines „Digitalen Unternehmens“ gibt, haben sich einige Kernelemente herauskristallisiert, die sozusagen den Begriffskern ausmachen. Dazu zählen

(i)           digitale Assets – also eine digitalisierte Form der (möglicherweise: aller) Geschäftsobjekte wie digitale Lieferscheine, digitale Aufträge, digitale Akten, digitale Pläne, u.s.f.

(ii)          digitale Prozesse – Da umfasst neben der klassischen Prozessautomatisierung aber auch alle sonstigen Arten der Digitalisierung von Prozessen, wie Case Management, (automatische) elektronische Kommunikation zwischen Prozessbeteiligten, die Steuerung der Prozesse auf Basis von in den Systemen gemessenen (Prozess-) Kennzahlen (anstelle von Stricherllisten oder manuellen Reports) oder das automatische Reagieren auf Ereignisse.

(iii)         digitale Interaktionen mit Stakeholdern – Da spielen die mobilen Endgeräte („digital Touch-Points“) eine wesentliche Rolle, über die in diesem Falle oft Kunden, aber auch Lieferanten oder Mitarbeiter die Prozesse und Leistungen eines digitalen Unternehmens abgreifen.

(iv)         digitale Services – wenn Unternehmen ihre Leistungen von physischen Gütern (bspw. die Tonträgerindustrie) auf rein elektronische Güter (MP3-Files) umstellen können. Naturgemäß gilt das nicht für alle Branchen: Eine Seife zum Händewaschen ist Teil eines chemischen Prozesses, der sich wohl kaum „digitalisieren“ lässt, genauso wenig wie sich ein Auto „wegdigitalisieren“ lässt. Aber rund um physische Services werden eine heute noch gar nicht abschätzbare Vielfalt an digitalen Services entstehen, die das physische Gut entsprechen augmentieren.

Welche Rolle spielen die aktuellen Technologietrends?

Ich würde ketzerisch fast behaupten, dass mit Ausnahme von Mobile Computing, Industrie 4.0 bzw. dem Internet of Things (IoT) etliche gängige Hypes wie Social Media, Big Data oder auch Cloud Computing den Blick auf das Wesentliche, nämliche die oben angeschnittenen 4 Kernelemente eines digitalen Unternehmens, verstellen.

Zugegeben, Cloud Computing kann durchaus ein Beschleuniger der Transformation in Richtung Digitales Unternehmen sein, aber Cloud Computing beantwortet ja überhaupt nicht die Frage, welche (digitalen) Fachfunktionen oder (digitalen) Prozesse ein Unternehmen denn aus der Cloud beziehen sollte.

Ja, auch Social Media wird im Sinne der digitalen Interaktion eine wichtige Rolle als Kanal spielen – aber ein Digitales Unternehmen kann so viel mehr sein, als nur ein Social Media Outlet von mediokren, nichtdigitalisierten unternehmensinternen Prozessen.

Mobile Computing hingegen ist hier natürlich ein extrem wichtiger Treiber in Richtung digitaler Interaktionen, der – siehe etwa Mobile Banking – auch in konservativeren Industriezweigen schon massive Veränderungen hervorgerufen hat.

Industrie 4.0 bzw. die Themen rund um das Internet of Things wiederum stellen als konzeptive Ansätze die absolut richtigen Fragen. Die schweben daher auch eine kleine Abstraktionsebene über den konkreten Trends und schüren gerade so extrem spannende neue Bündel aus durchaus bekannten Technologien (ich denke da an Kommunikationstechnologien im Bereich „Messaging“, die wir seit den 1980er Jahren kennen ;-).

Die Ergebnisse des Digital Business Assessment werden präsentiert auf dem 8. Confare CIO & IT-Manager Summit am 25/26. März 2015 in Wien – Anmeldung Details finden Sie auf www.ciosummit.at

Die Umfrage erreichen Sie auf https://de.surveymonkey.com/s/DBA2015AT 

Bis der Arzt kommt … Die 3 wichtigsten Bedrohungen für die Gesundheit der IT

Vorsorgemedizin boomt und wirkt sich nachweislich positiv auf die Gesundheit der Bevölkerung aus. Eher nachlässig wird indes die „Gesundheit von IT-Systemen“ behandelt, gerade in Zeiten von Kostendruck und steigender Komplexität. Während die Abhängigkeit der Unternehmen von der IT immer mehr steigt, wachsen gleichzeitig auch die Bedrohungen. Der Ziviltechniker Dr. Wolfgang Prentner (ZT-PRENTNER-IT GmbH) ist Spezialist für Computer Forensik und IT-Sicherheit und versteht sich oft als Notfallmediziner in der IT. Im Gespräch gibt der Spezialist Auskunft über jene Vorbeugemaßen, die zur Gesundheitsfürsorge in der IT notwendig wären.

Wo sehen Sie denn die 3 schlimmsten Gesundheitsbedrohungen für die Unternehmens-IT?

Mehrere Faktoren kommen zur Zeit gleichzeitig zum Tragen:

(1) Die IT Landschaft ist hoch komplex und neue, moderne Technologien werden eingesetzt. Mobile Endgeräte, Cloud Services und Virtualisierung verändern die Nutzung und die Erwartungen an IT-Systeme. Um agil und rasch im Wettbewerb zu agieren, wird Software in immer kürzeren Abständen entwickelt, zumeist nicht ausreichend getestet und  von Qualitätssicherung sowie Dokumentation ist keine Rede. Dadurch schleichen sich immer mehr Fehler in die Software ein mit zum Teil fatalen Folgen im Bereich der System-Zuverlässigkeit als auch im Bereich der Sicherheit. Beispiele dafür sind die falsche Verbuchung von Geldbeträgen auf Privat- und Firmenkonten sowie die Einsicht in fremde Konten beim Online-Banking oder der Supergau der heuer stattfand im Zusammenhang mit dem  „Heartbleed Software-Fehler“. Dieser ermöglichte direkt den Hauptspeicher von mehreren Millionen sicherheitskritischen Computersystemen auszulesen.

(2) Unternehmen sind immer mehr von Spezialisten und Dienstleistern abhängig. Dabei kommen die Dienstleistungen zu 99% nicht aus einer Hand sondern von einer Heerschar von Dienstleistern für z.B. Hardware, Betriebssystemen, Infrastruktur, ERP, CMS, Storage, für Installation, Wartung und Betrieb. Dies führt dazu, dass bei Problemen mit der IT, keine rasche und zielgerichtete Lösung des Problems vorliegt, sondern das Problem zumeist wie eine heiße Kartoffel im Kreis geschickt wird. Die Rechnung zahlt dann der Auftraggeber.

(3) Ein Basisschutz ist zumeist in den Unternehmen und Behörden vorhanden. Das wissen auch die Angreifer. Ein erhöhter Schutz auf Basis einer Risikoanalyse kostet zumeist nicht doppelt so viel wie man vermuten würde, sondern erhöht die Kosten um einen Faktor 10 bis 100 (!). Mit diesem exponentiellen Anstieg der Kosten und des Aufwandes sind die meisten Organisationen überfordert, das macht sie verwundbar. Aber auch dieser Schwäche sind sich Cyber-Kriminelle bewusst.  

Was sind die gängigsten Angriffsziele?

Die Angriffsziele sind breit gefächert. Primär geht es um Geld. Privatpersonen sind genauso lohnende Ziele, wie kleinere Unternehmen oder Konzerne. Immer noch gelingt es, blauäugigen Privatpersonen mit plumpen beziehungsweise simplen und altbekannten aber perfektionierten Methoden beträchtliche Summen abzuknöpfen, sei es mit Spam, Phishing oder fingierten Anrufen. Das Vorgehen bei Angriffen auf Konzerne ist meistens komplexer da das Sicherheitsniveau wesentlich höher ist. Allerdings ist hier auch mehr zu holen.

Inwieweit muss man sich als Unternehmen vor Cyber Kriminellen schützen?

Cyber Kriminalität hat sich zum Big-Business mit Milliarden Umsätzen entwickelt. Das Vertrauen in die Informationstechnologie ist mehr denn je durch die in den letzten Tagen, Monaten und Jahren aufgedeckten kriminellen Handlungen erschüttert – dahinter stecken mafiose Strukturen und natürlich auch staatliche Spionageaktivitäten. Man denke an den  aktuellen Fall des Trojaners Regin, bei dem die Vermutung nahe liegt, dass er aus dem Umfeld staatlicher Organisationen kommt.

Der Schutz vor Cyber Kriminellen kann zum Teil durch eine gut gewartete IT Landschaft und konkrete Abwehrmechanismen sichergestellt werden. Auch eine unabhängige und regelmäßige Überprüfung des Sicherheitsniveaus von Unternehmen und Behörden hilft.

Der zentrale Angriffs-Faktor ist jedoch weiterhin der Mensch selbst, der die Systeme, die ihm zur Verfügung gestellt werden nur unzureichend versteht und aus diesem mangelnden Verständnis heraus, aus Bequemlichkeit oder fehlendem Risiko-Bewusstsein heraus Fehler macht. Es gilt: „culture eats strategy“, die beste Sicherheitsstrategie hilft nichts, wenn die Unternehmenskultur im Punkto Sicherheit unterbelichtet ist. Awareness Maßnahmen, Information, Diskussion und Schulung sind hier von entscheidender Bedeutung.

 Was ist bei Gesundheitsvorsorge für die IT zu beachten?

Bei der Gesundheitsvorsorge für die IT ist zu beachten dass die strategischen IT-Ziele mit genügend Ressourcen, Know-how und Geldmitteln bestückt werden und mit den richtigen Partnern verfolgt werden. IT-Dienstleister glänzen oft in der Akquise, letztendlich sind sie aber eher dem eigenen Unternehmenserfolg verpflichtet als dem der Kunden. Wichtig ist dabei, sich nicht nur das Leistungspaket und die attraktiven Preise anzusehen, sondern auch zu prüfen, was passiert, wenn etwas passiert. So dass Sie im Fall des Falles nicht im Stich gelassen werden. Hier ist es unter Umständen unabhängige Dritte ins Boot zu holen, um die eine objektive Einschätzung der Lage zu erhalten.

Als Referent steht der Fachmann Wolfgang Prentner auf dem 8. Confare CIO & IT-Manager Summit für Fragen zur Verfügung, wo am 25. und 26. März in Wien auch die besten IT-Manager des Jahres ausgezeichnet werden. Anmeldungen und Details auf www.ciosummit.at
  (

 

Nicht an der IT sparen, sondern durch sie – CIO der Stadt Wien, Ulrike Huemer über E-Government Trends und die Rolle des CIO

Seit 2014 leitet Ulrike Huemer als CIO der Stadt Wien die IT-Geschicke unserer Stadt, die seit jeher einer der international anerkannten Vorreiter im Bereich E-Government ist. Anlässlich der Vorbereitungen zur Confare Jahreskonferenz „IT-Herausforderungen 2015“ am 23. Oktober in Wien, im Gespräch über die aktuellen Aufgaben für die IT und die wichtigsten Trends im Bereich E-Government.

Wien ist einer der am stärksten wachsenden Städte Europas – was sind die größten Herausforderungen beim Management der IT dieser Stadt?

Uns ist es besonders wichtig E-Government Services zu schaffen, die sich an den Anforderungen bzw. Lebensphasen der Bevölkerung orientieren, so dass sämtliche Verfahren bzw. Kontakte zur Stadtverwaltung online erledigt werden können. Dadurch wollen wir den Menschen Zeit schenken, die sie für andere wesentliche Dinge verwenden können als für den Weg zu den Ämtern. Weiters ist es mir wichtig, dass wir mit der IT einem Beitrag zur Haushaltskonsolidierung leisten um Ressourcen für erforderliche Investitionen etwa im Bildungsbereich zu haben. Wobei wir nicht an der IT sparen wollen, sondern durch sie.

Wieviel Prozesskompetenz muss die IT mit- und einbringen?

Wir haben das Prozessmanagement und die IKT der Stadt Wien in meiner Gruppe " verheiratet", weil wir davon überzeugt sind, dass die IKT von den Prozessen getrieben sein soll und nicht umgekehrt. Gleichzeitig ist es aber auch wichtig, dass die Fachbereiche eine Prozesssicht einnehmen um auch ihre Anforderungen klarer und eindeutiger definieren zu können. Wir erhoffen uns dadurch ganz wesentliche Effizienzsteigerungen.

Wie funktioniert dabei die Zusammenarbeit mit anderen Magistratsabteilungen?

Die Magistratsabteilungen sind die Kundinnen der IT-Abteilung und wir müssen sie perfekt beraten und servicieren. Die Zusammenarbeit lebt vom konstruktiven Dialog und unserer Aufgabe durch eine gute IT einen Beitrag für eine lebenswerte Stadt, eine SMART City zu leisten. Dieser Grundsatz ist Handlungsanleitung für die Zusammenarbeit.

Was sind aus Ihrer Sicht die wichtigsten Trends im E-Government?

Der wichtigste Trend ist, dass man stärker in Portale investieren wird, wo die KundInnen sämtliche Service erhalten. Natürlich prägt uns die Mobilität der Menschen, zu jeder Zeit an jedem Ort ihre Angelegenheiten erledigen zu können und da geht es ganz stark um die Entwicklung entsprechender Apps und zum Beispiel auch den Einsatz von QR Codes.

Welche Qualifikationen sollte der CIO mitbringen?

Es geht darum offen zu sein für Innovation und Fortschritt, konstruktiv den Dialog mit den AnwenderInnen und den VertreterInnen der Fachbereiche zu suchen, als Kommunikationsdrehscheibe und Übersetzer zwischen IT und Fachbereichen. Ich denke ein CIO bzw eine CIO soll vom Gedanken geleitet sein, Dinge zu ermöglichen und Trends zu begreifen, richtig einzuschätzen und umzusetzen.

Wie wichtig ist Weiterbildung für das IT-Management?

Weiterbildung ist wie in jedem Management ganz wichtig, man darf nicht aufhören zu lernen und zu wachsen; aber nicht nur in Fachthemen sondern vor allem auch in den sogenannten softskills.

Welche Bedeutung hat aus Ihrer Sicht die Initiative zum CIO AWARD?

Ich denke es geht darum CIO's sichtbar zu machen und ihre wesentliche Rolle in einem Unternehmen zu unterstreichen.

Hören Sie mehr beim CIO-Talk im Rahmen der Confare Jahreskonferenz "IT-Herausforderungen 2015" - Details und Anmeldung: http://www.confare.at/10333_DE-7206_IT-Herausforderungen_2015-Einfuehrung.htm

#TopCIO 2014 - die IT treibt Innovationen im e-Government: Sabine Ringhofer vom österreichischen Patentamt

serv.ip - Das Österreichische Patentamt ist naturgemäß ein Knotenpunkt für Innovation. Dafür, dass die IT den Anforderungen der Kunden und e-Government Anwendungen gerecht wird, sorgt seit 2010 Sabine Ringhofer, als eine der wenigen Frauen in Österreichischen CIO-Positionen. Ist sie eine der Top-CIOs 2014? Am 27. März findet die Preisverleihung an die besten IT-Manager des Jahres statt. www.ciosummit.at

 

Wie wichtig ist die IT für Innovation in der öffentlichen Verwaltung?

Ringhofer: Die IT ist einer der wichtigsten Treiber der Innovation. Österreich nimmt weltweit eine Vorreiterrolle des e-Government ein, die Themen One-Stop-Shop und Open Data sind sehr weit fortgeschritten. Der Grund für diese Erfolge ist, dass die Rolle der IT als zentral eingeschätzt wurde. Auch für Optimierung der internen Prozesse und Abläufe leistet die IT wesentliche Beiträge, durch die Automatisierung und elektronische Unterstützen werden Prozesse schneller, transparenter und besser nachvollziehbar.

Wie gestalten Sie Ihre Rolle als CIO?

Ringhofer: Ich sehe meine Rolle als CIO auf drei Ebenen: Erstens bin ich Führungskraft im Team, das umfasst auch die Endverwantwortung für Architektur, Kennzahlen und Budget. Zweitens ist der CIO eine wesentliche Schnittstelle zu anderen Führungskräften im Unternehmen – den Peers. Diese Peer-Schnittstellen erfordern viel Kommunikation und sind essentiell für eine erfolgreiche und punktgenaue IT-Unterstützung der Unternehmensprozesse und für die Schaffung von Mehrwert. Drittens hat der CIO eine wichtige Beratungsfunktion der Geschäftsleitung. Das ist für mich ein wichtiges Instrument, um Innovationen im Unternehmen zu platzieren und voranzutreiben.

Welche Veränderungen gab es in der IT Ihres Unternehmens?

Ringhofer: Meine ersten Veränderungen betrafen die Organisation der IT: die Aufgabenverteilung, Neuaufstellung der Abteilung, strukturiertes Lieferanten- und Lizenzmanagement, die Erstellung eines nachhaltigen Budgets, usw. Das sind für mich unabdingbare Voraussetzungen. Gleichzeitig wurde eine neue IT-Architektur designt und mit dem Austausch alter Plattformen begonnen. Das war vor allem aufgrund der end-of-life-Problematik zwingend. Danach erstellten wir eine IT-Strategie und ein e-Government-Konzept, das jährlich aktualisiert wird und das unsere laufenden Ziele bestimmt. Erst in dieser Phase kann man Innovation sprechen.

Wo sehen Sie die wichtigsten IT-Herausforderungen in den kommenden Jahren?

Ringhofer: Weiterer Ausbau der e-Government-Applikationen, Kostendruck, IT-Security.

Welche Bedeutung hat für Sie der CIO AWARD?

Ringhofer: Das Netzwerk ist für mich ein wichtiger Instument zum Austausch von Erfahrungen und zum Lernen. Ich freue mich über die Sichtbarkeit im Netzwerk und hoffe, dadurch noch mehr interessante Personen kennenzulernen.