Die Robustheit eines IT-Systems zu messen, erfordert mehr als nur die Verhinderung von Angriffen. RISC, das für Réseaux, Informatique, Systèmes de confiance steht, bezeichnet einen Forschungsansatz, der Softwaresicherheit, Hardwaresicherheit und Vertrauensmodelle miteinander verbindet, um zu bewerten, ob ein System auch unter beeinträchtigten Bedingungen funktionsfähig bleibt. Der Fokus verschiebt sich: Es geht nicht mehr nur darum, einen Angriff abzuwehren, sondern darum, messbar zu machen, wie gut ein System einem Vorfall standhält, sich davon erholt und sich daran anpasst.
Digitale Abhängigkeiten und Angriffsfläche: Was klassische Audits nicht erfassen
Traditionelle Auditmethoden bewerten die Sicherheit eines klar abgegrenzten Bereichs: Server, Arbeitsplätze und Firewalls. RISC erweitert diesen Blickwinkel und berücksichtigt Abhängigkeiten zwischen Netzwerken, Diensten und Anbietern als Faktor für die Resilienz. Ein System kann intern perfekt konfiguriert und dennoch über einen Drittanbieter oder eine unzureichend isolierte API verwundbar sein.
Die ENISA weist in ihrem Threat Landscape 2026, das auf der Analyse von 2025 beobachteten Vorfällen basiert, darauf hin, dass digitale Abhängigkeiten die Angriffsfläche vergrößern und sowohl die Prävention als auch die Eindämmung von Vorfällen erschweren. Der RISC-Ansatz bezieht genau diese Dimension ein, indem er die Interaktionen zwischen verteilten Komponenten modelliert – während ein punktuelles Audit lediglich eine statische Momentaufnahme liefert.
Spezialisierte Akteure dokumentieren diese Herausforderungen und bieten entsprechende Unterstützung an. Einzelheiten zu ihren Leistungen finden Sie unter https://www.risc.lu/. Das Angebot umfasst mehrere Bereiche der IT-Sicherheit und -Resilienz.
Software, Hardware und Vertrauen: Die drei RISC-Säulen im Vergleich
Das Besondere an RISC ist die gleichzeitige Betrachtung dreier Ebenen, die in den meisten Referenzwerken getrennt behandelt werden. Die folgende Tabelle vergleicht diese Bereiche anhand operativer Kriterien.
| RISC-Bereich | Abgedeckter Umfang | Adressierte Bedrohungsart | Beispiel für einen Mechanismus |
|---|---|---|---|
| Softwaresicherheit | Anwendungscode, Bibliotheken, Updates | Ungepatchte Schwachstellen, Injection-Angriffe | Statische Codeanalyse, automatisiertes Fuzzing |
| Hardwaresicherheit | Prozessoren, Firmware, Seitenkanäle | Physische Angriffe, Ausnutzung von Mikroarchitekturen | Sichere Enklaven, Überprüfung der Boot-Integrität |
| Vertrauenssysteme | Verteilte Protokolle, Zertifizierungsketten | Kompromittierung eines Knotens, Identitätsfälschung | Byzantinisch fehlertolerante Konsensalgorithmen |
Ein System, das nur die Softwareebene berücksichtigt, bleibt anfällig für Seitenkanalangriffe auf die Hardware. Umgekehrt ist sichere Hardware wenig wert, wenn die darauf ausgeführte Software bekannte Schwachstellen enthält. Resilienz entsteht durch das Zusammenspiel aller drei Ebenen, nicht durch Spitzenleistung in nur einer davon.
IT-Resilienz gegenüber älteren Schwachstellen: Die Rolle der RISC-Forschung
Bei einem Teil der jüngsten Vorfälle werden Schwachstellen ausgenutzt, die seit Jahren dokumentiert sind. Forschungsteams, die dem RISC-Ansatz zugeordnet sind, darunter die des LAAS-CNRS, beschäftigen sich mit der Modellierung kritischer Systeme und der Analyse der Fehlerausbreitung in verteilten Architekturen.
Ihre Arbeit befasst sich insbesondere mit:
- Virtualisierung und Softwarisierung von Netzwerken, die mit jeder zusätzlichen Abstraktionsebene neue Angriffsflächen schaffen
- Künstlicher Intelligenz zur Erkennung von Anomalien, wobei ein sparsamer Ressourceneinsatz wichtig ist, damit der Abwehrmechanismus nicht selbst zu einer Quelle zusätzlicher Komplexität wird
- Verteilten, fehlertoleranten Algorithmen, die es einem System ermöglichen, weiterzuarbeiten, selbst wenn eine oder mehrere seiner Komponenten kompromittiert sind
Dieser letzte Punkt unterscheidet Resilienz von bloßer Sicherheit. Ein resilientes System verhindert nicht jede Kompromittierung, sondern begrenzt deren Ausbreitung und hält einen eingeschränkten, aber funktionsfähigen Dienst aufrecht.
Regulierungsrahmen NIS 2 und RISC-Vorbereitung in Frankreich
Der europäische Regulierungsrahmen veranlasst Organisationen dazu, ihren Resilienzansatz zu formalisieren. In Frankreich hat die ANSSI das Référentiel Cyber France (ReCyF) als Vorbereitungshilfe für die NIS-2-Richtlinie bereitgestellt. Laut Certi-Trust ist dieses Referenzwerk im November 2026 noch ein Arbeitsdokument, das vor der endgültigen Verabschiedung weiterentwickelt werden kann.
Die Umsetzung von NIS 2 in französisches Recht ist derzeit noch nicht abgeschlossen. Der Nationalversammlung wurde ein Gesetzentwurf zur Resilienz vorgelegt, doch der Zeitplan für seine tatsächliche Verabschiedung muss noch bestätigt werden. Für Organisationen, die sich auf diese Pflichten vorbereiten, bietet der RISC-Ansatz einen strukturierten Rahmen: Er deckt von Haus aus die Bereiche Risikomanagement, Datenschutz und Schwachstellenanalyse ab, die NIS 2 verlangt.
Die Lücke zwischen technischer Vorbereitung und regulatorischer Compliance
Die Herausforderung liegt in der Diskrepanz zwischen dem technischen Reifegrad einer Organisation und den formalen Anforderungen des künftigen Rahmens. Ein Unternehmen kann über leistungsfähige Erkennungstools verfügen, ohne seine Prozesse zur fristgerechten Meldung von Vorfällen gemäß der Richtlinie dokumentiert zu haben.
RISC hilft, diese Lücke zu schließen, indem die Reaktion auf Vorfälle in vier messbare Phasen gegliedert wird: Antizipation, Widerstandsfähigkeit, Wiederherstellung und Anpassung. Für jede Phase gibt es überprüfbare Kennzahlen, was den Nachweis der Compliance gegenüber den Aufsichtsbehörden erleichtert.
Aktuelle Grenzen und Weiterentwicklung des RISC-Ansatzes
Der RISC-Ansatz löst nicht alle Probleme. Die Modellierung von Abhängigkeiten zwischen Anbietern scheitert oft an mangelnder Transparenz: Die meisten Cloud-Anbieter veröffentlichen keine Einzelheiten zu ihren eigenen Subunternehmerketten. Ohne diese Einblicke bleibt selbst ein ausgefeiltes Vertrauensmodell unvollständig.
Auch die Integration von KI in Abwehrmechanismen bringt Herausforderungen mit sich. Anomalieerkennungsmodelle erzeugen Fehlalarme, die Sicherheitsteams zusätzlich belasten. Der sparsame Ressourceneinsatz von Algorithmen wird damit zu einem Zuverlässigkeitskriterium und nicht nur zu einer Frage der Energieeffizienz.
Die Zusammenarbeit zwischen akademischer Forschung und den operativen Anforderungen von Unternehmen nimmt zu, schreitet jedoch langsam voran. Die Arbeiten des LAAS-CNRS zu kritischen Systemen liefern fundierte theoretische Ergebnisse, deren Überführung in industrielle Werkzeuge mehrere Jahre dauert. Die Kluft zwischen einem Laborprototyp und einem produktionsreifen Produkt bleibt das größte Hindernis für eine breite Einführung von RISC als Resilienzstandard.
