Handelsübliche Standardprodukte (COTS)

Der erfolgreiche Einsatz von handelsüblicher Standardsoftware (Commercial Off-the-Shelf, COTS) ermöglicht es Unternehmen, bewährte kommerzielle Technologien schneller einzusetzen als bei der Entwicklung maßgeschneiderter Software, und dabei gleichzeitig die für geschäftskritische Abläufe erforderliche Sicherheit, Zuverlässigkeit und Lebenszyklusunterstützung zu gewährleisten. Für Behörden und stark regulierte Branchen ist die Auswahl von COTS-Lösungen, die kommerzielle Innovation mit Sicherheit auf Unternehmensniveau und flexiblen Bereitstellungsoptionen verbinden, von entscheidender Bedeutung. 

Viele kommerzielle Produkte sind speziell darauf ausgelegt, Behörden, den Verteidigungssektor und regulierte Branchen zu unterstützen, indem sie erhöhte Sicherheit, Compliance-Funktionen und Flexibilität bei der Bereitstellung bieten und gleichzeitig weiterhin im freien Handel erhältlich sind. Obwohl diese Produkte weiterhin im freien Handel erhältlich sind, können sie auch behördenspezifische Bereitstellungsmodelle, Zertifizierungen oder betriebliche Anforderungen unterstützen. 

Im Gegensatz zu maßgeschneiderter Software oder speziell entwickelten Systemen zeichnen sich COTS-Produkte durch standardisierte Funktionen, dokumentierte Schnittstellen, versionskontrollierte Releases und vom Hersteller unterstützte Wartung aus. Unternehmen integrieren diese Produkte in bestehende Umgebungen und profitieren dabei von etablierten Produkt-Roadmaps, Sicherheitsupdates und technischem Support. 

Arten von COTS-Produkten 

COTS-Produkte decken nahezu alle Ebenen der IT-Umgebung eines Unternehmens ab, darunter: 

• Hardware wie Server, Speichersysteme, Netzwerkgeräte, Laptops und Peripheriegeräte  

• Software, darunter Betriebssysteme, Datenbanken, Endgeräteschutzplattformen, Analysetools und Produktivitätsanwendungen  

• Embedded-Technologien wie Kommunikationsmodule, Sensoren, Firmware und spezielle Hardwarekomponenten  

Merkmale von COTS-Produkten 

Ein Produkt gilt im Allgemeinen als COTS, wenn es folgende Merkmale aufweist: 

• Breite kommerzielle Verfügbarkeit ohne kundenspezifische Entwicklungsarbeiten 

• Standardisierte Funktionalität mit veröffentlichten Produktspezifikationen  

• Versionskontrollierte Releases, unterstützt durch dokumentierte Aktualisierungsverläufe  

• Vom Anbieter verwaltete Wartung, technischer Support und Sicherheitsupdates  

• Öffentlich zugängliche Dokumentation zu Bereitstellung, Verwaltung und Lebenszyklusmanagement  

• Konfigurierbare Bereitstellungsoptionen, die es Unternehmen ermöglichen, betriebliche, sicherheitstechnische und gesetzliche Anforderungen zu erfüllen, ohne das Kernprodukt zu verändern 

Produkte, die eine erhebliche kundenspezifische Anpassung oder Entwicklung erfordern, gehen möglicherweise über Standard-COTS-Implementierungen hinaus und werden stattdessen als modifizierte Standardlösungen (MOTS) oder maßgeschneiderte Systeme eingestuft. 

COTS-Produkte ermöglichen es Behörden und Organisationen mit kritischer Infrastruktur, ihre Systeme schneller zu modernisieren und gleichzeitig den Entwicklungsaufwand zu reduzieren. Da diese Produkte kommerziell unterstützt und weit verbreitet sind, können sich die Organisationen darauf konzentrieren, handelsübliche Technologien sicher zu konfigurieren und zu integrieren, um betriebliche, sicherheitsrelevante und Compliance-Anforderungen zu erfüllen, anstatt Funktionen von Grund auf neu zu entwickeln. 

In regulierten Umgebungen trägt COTS zudem durch standardisierte Bereitstellungen, vorhersehbare Produktlebenszyklen und vom Anbieter unterstützte Wartung zur operativen Konsistenz bei. Diese Merkmale tragen zur Vereinfachung der Governance bei und bieten gleichzeitig eine stabile Grundlage für Sicherheits- und Compliance-Programme, die auf standardisierten Technologieplattformen aufbauen. 

Betriebliche Vorteile 

Unternehmen, die COTS-Lösungen einsetzen, können zahlreiche Vorteile nutzen, darunter: 

• Schnellere Bereitstellung durch standardisierte Installation und Konfiguration  

• Reduzierung des betrieblichen Aufwands durch vom Anbieter verwaltete Wartung und Updates  

• Höhere Zuverlässigkeit durch breite kommerzielle Verbreitung  

• Zugang zu etablierten Partner-Ökosystemen, Unterstützung bei der Umsetzung und Schulungen  

• Geringere Anschaffungskosten durch Skaleneffekte  

Überlegungen zu Sicherheit und Governance 

Zwar sorgt COTS für betriebliche Effizienz, doch hängt eine erfolgreiche Einführung von einer wirksamen Steuerung ab. Unternehmen sollten im Rahmen des Beschaffungsprozesses Risiken in der Lieferkette, Integrationsanforderungen, vom Anbieter gesteuerte Produktlebenszyklen sowie das laufende Schwachstellenmanagement bewerten. 

Diese Überlegungen stellen überschaubare operative Risiken dar, denen durch eine sichere Architektur, ein diszipliniertes Lebenszyklusmanagement und klar definierte Sicherheitsmaßnahmen begegnet werden kann. 

Der erfolgreiche Einsatz von COTS-Technologie erfordert mehr als nur die Auswahl des richtigen Produkts. Eine effektive Implementierung hängt von einer durchgängigen Steuerung während der gesamten Beschaffungs-, Einführungs-, Betriebs- und Stilllegungsphase ab, um Sicherheit, Compliance und betriebliche Ausfallsicherheit zu gewährleisten. 

Lieferantenbewertung 

Die Auswahl eines COTS-Produkts beginnt mit der Bewertung sowohl des Anbieters als auch der Technologie. Unternehmen sollten die Produktverfügbarkeit, die Verfahren zum Versionsmanagement, die Prozesse zur Offenlegung von Sicherheitslücken, den Reifegrad der Reaktion auf Sicherheitslücken, die langfristige Stabilität der Roadmap sowie relevante Compliance-Zertifizierungen prüfen. Erfahrungen mit der Unterstützung regulierter Branchen können ebenfalls das Vertrauen in die Eignung eines Produkts stärken. 

Sichere Architektur 

COTS-Produkte sollten innerhalb einer sicheren Architektur eingesetzt werden, die zum Schutz geschäftskritischer Systeme konzipiert ist. Netzwerksegmentierung, Zero-Trust-Prinzipien, zentralisiertes Identitäts- und Zugriffsmanagement, Multi-Faktor-Authentifizierung sowie Zugriffskontrollen nach dem Prinzip der geringsten Berechtigungen tragen dazu bei, Risiken zu minimieren und gleichzeitig die Gesamtsicherheit zu erhöhen. 

Konfiguration und Betriebsmanagement 

Die Aufrechterhaltung einheitlicher Konfigurationen über den gesamten Produktlebenszyklus hinweg ist für einen sicheren Betrieb unerlässlich. Standardisierte Konfigurations-Baselines, automatisierte Bereitstellung und Patch-Management, „Infrastructure as Code“ sowie ein strukturiertes Änderungsmanagement verbessern die betriebliche Konsistenz und reduzieren gleichzeitig Konfigurationsabweichungen. Regelmäßige Leistungsüberprüfungen und Wiederherstellungstests vereinfachen zudem die Compliance-Berichterstattung und die Vorbereitung auf Audits. 

Lebenszyklus-Governance 

COTS-Technologie sollte von der Beschaffung bis zur Außerbetriebnahme umfassend verwaltet werden. Zu einem effektiven Lebenszyklusmanagement gehören die Überwachung von Sicherheitshinweisen der Anbieter, die Pflege von Prozessen zum Schwachstellenmanagement, die Umsetzung einer strukturierten Änderungskontrolle, die Planung von Übergängen nach Ablauf des Supports sowie die sichere Außerbetriebnahme von Systemen am Ende ihrer Nutzungsdauer. 

COTS-Lösungen unterstützen eine Vielzahl von Aufgaben im öffentlichen Sektor und im Bereich kritischer Infrastrukturen, sofern sie innerhalb eines sicheren Governance-Rahmens implementiert werden. Die folgenden Beispiele veranschaulichen, wie Organisationen COTS-Technologie einsetzen, um ihre betriebliche Effizienz zu steigern und gleichzeitig Sicherheit, Ausfallsicherheit und die Einhaltung gesetzlicher Vorschriften zu gewährleisten. 

Endgerätesicherheit und Systemhärtung 

COTS-Endpunkt-Sicherheitsplattformen stärken die Sicherheit von Unternehmen durch zentralisierte Richtlinienverwaltung, integrierte Telemetrie und vom Anbieter verwaltete Bedrohungsinformationen. Funktionen wie die Zulassungsliste für Anwendungen, Schutzmaßnahmen auf Kernel-Ebene und kontinuierliche Sicherheitsupdates tragen dazu bei, die Angriffsfläche zu verringern und gleichzeitig die Widerstandsfähigkeit der Endpunkte zu verbessern. 

Identitäts- und Zugriffsmanagement 

COTS-Identitätsplattformen ermöglichen eine sichere Authentifizierung und Autorisierung in Unternehmensumgebungen. Unternehmen nutzen diese Lösungen in der Regel zur Implementierung von Multi-Faktor-Authentifizierung, rollenbasierten Zugriffskontrollen, der Verwaltung privilegierter Zugriffe sowie zur zentralen Überwachung von Verwaltungsaktivitäten. 

Sicherheitsmaßnahmen und Reaktion auf Sicherheitsvorfälle 

COTS-Plattformen für den Sicherheitsbetrieb verbessern die Transparenz in Netzwerken, auf Endgeräten und in Cloud-Umgebungen. Durch die zentralisierte Protokollerfassung, Überwachung und Erkennung von Bedrohungen können Sicherheitsteams verdächtige Aktivitäten schneller identifizieren, während vom Anbieter unterstützte Erkennungsinhalte und automatisierte Arbeitsabläufe die Reaktion auf Vorfälle beschleunigen. 

Datenschutz und Schlüsselverwaltung 

COTS-Lösungen für Verschlüsselung und Schlüsselverwaltung tragen dazu bei, sensible Informationen während ihres gesamten Lebenszyklus zu schützen. Diese Technologien unterstützen die Verschlüsselung von Daten im Ruhezustand und während der Übertragung, setzen Datenschutzrichtlinien durch und bieten eine sichere Verwaltung kryptografischer Schlüssel, die den Anforderungen des Unternehmens und den gesetzlichen Vorschriften entspricht. 

Resilienz kritischer Infrastrukturen 

COTS-Netzwerk-, Speicher- und Infrastrukturplattformen verbessern die Verfügbarkeit von Diensten und die Betriebskontinuität. Unternehmen nutzen diese Technologien, um Hochverfügbarkeit, automatisiertes Failover, Notfallwiederherstellung und Wiederherstellungsplanung im Einklang mit den Betriebs- und Service-Level-Zielen zu gewährleisten. 

Sichere Kommunikation 

Sichere COTS-Kommunikationsplattformen bieten verschlüsselte Sprach-, Messaging- und Kollaborationsfunktionen für Organisationen, die mit sensiblen Informationen umgehen. Funktionen wie End-to-End-Verschlüsselung, zentralisierte Richtlinienverwaltung und sicherer mobiler Zugriff tragen zum Schutz der betrieblichen Kommunikation bei und gewährleisten gleichzeitig die Einhaltung gesetzlicher Vorschriften und Einsatzanforderungen. 

Sichere Modernisierung 

Dank der COTS-Technologie können Unternehmen ihre Altsysteme modernisieren, ohne dass eine umfassende Systemerneuerung erforderlich ist. Eine schrittweise Einführung, die Integration in die bestehende Infrastruktur und eine strukturierte Migrationsplanung reduzieren Betriebsunterbrechungen und gewährleisten gleichzeitig die Geschäftskontinuität. Die Planung der Datenportabilität und des Lebenszyklusmanagements trägt zudem dazu bei, eine langfristige Anbieterabhängigkeit zu minimieren. 

Die erfolgreiche Implementierung von COTS-Lösungen erfordert mehr als nur die Auswahl handelsüblicher Technologien. Unternehmen erzielen den größten Nutzen, wenn sie eine sichere Architektur, eine disziplinierte Governance und ein strukturiertes Lebenszyklusmanagement kombinieren, um geschäftskritische Abläufe zu unterstützen. 

Unternehmen, die Standards für sichere Konfigurationen festlegen, Wartungsprozesse automatisieren, den Sicherheitsstatus kontinuierlich überwachen und Übergänge im Produktlebenszyklus planen, können die betrieblichen Vorteile von COTS nutzen und gleichzeitig die für geschäftskritische Abläufe erforderliche Sicherheit und Ausfallsicherheit gewährleisten.