5G-Mobilfunknetze bieten neue Funktionen und benützen neue Technologien in Kernnetz, Transportnetz und Funkzugangsnetz (Radio Access Netz - RAN - das die Verbindung zwischen mobilem Endgerät und Kernnetz in einem Mobilfunknetz ermöglicht), die seitens 3GPP für 3G-, 4G- und 5G-Technologien standardisiert wurden, einer Partnerschaft, die maßgebliche Standardisierungsgremien aus verschiedenen Weltregionen wie ETSI (Europa), ATIS (USA), CCSA (China), ARIB und TTC (Japan), TTA (Korea) und TSDSI (Indien) zusammenbringt. In Open Radio Access Netzen (Open RAN) sollen einige dieser neuen Technologien, wie z. B. Cloudifizierung und Virtualisierung, Einsatz von herstellerneutraler Hardware, offener Software und Schnittstellen, verwendet werden, um mehr Interoperabilität zwischen verschiedenen Netzwerkkomponenten zu ermöglichen und eine Diversifizierung der Anbieter im RAN zu fördern. Es gibt mehrere Open-RAN-Konzepte, -Initiativen und -Spezifikationsbemühungen, die von verschiedenen Gruppen vorangetrieben werden, jedoch jeweils einen etwas anderen Ansatz verfolgen. Darunter sind virtualisiertes RAN (v-RAN), Telecom Infra Project (TIP) und insbesondere die O-RAN Alliance zu nennen, deren Spezifikationen diejenigen der 3GPP ergänzen, indem sie neue Anforderungen und Anwendungsfälle, Profile, zusätzliche Schnittstellen und neue Komponenten im RAN definieren.
Da die rechtzeitige Bereitstellung sicherer 5G-Netze für die Europäische Union eine hohe Priorität hat, haben die EU-Mitgliedstaaten mit Unterstützung der Europäischen Kommission und der ENISA einen konzertierten Ansatz für die Cybersicherheit von 5G-Netzen entwickelt. Im Rahmen dieses Vorgehens bewerteten die EU-Mitgliedstaaten gemeinsam die wichtigsten Risiken im Zusammenhang mit 5G-Netzen ("EU Coordinated risk assessment") und definierten einen umfassenden und risikobasierten Ansatz in Form der im Januar 2020 verabschiedeten "EU 5G Toolbox". Da Open RAN als vielversprechender Markttrend in der Entwicklung von 5G- und 6G-Architekturen gesehen wird, haben die EU-Mitgliedstaaten beschlossen, eine eingehende Analyse der Auswirkungen von Open RAN auf die Cybersicherheit durchzuführen, um die vorhin erwähnte koordinierte Risikoanalyse zu 5G zu ergänzen, was zu einem im Mai 2022 veröffentlichten Bericht führte.
Der Bericht stellt fest, dass die Cybersicherheit eine erhebliche Herausforderung für das Open-RAN-Konzept im Allgemeinen darstellt und dass insbesondere die von der O-RAN Alliance erstellten Spezifikationen, zusätzlich zu ihren Governance-Mängeln, nicht ausreichend ausgereift und durch Design abgesichert sind. Aufgrund des neuen Ansatzes von Open RAN würden, insbesondere kurzfristig, neue Schnittstellen und neue Arten von RAN-Komponenten, die möglicherweise von mehreren Anbietern stammen, eine Reihe von Sicherheitsrisiken von 5G-Netzen verschärfen und die Angriffsfläche im Bereich des Funkzugangsnetzes vergrößern.
Um diese Risiken zu mindern und die potenziellen Chancen von Open RAN zu nutzen, werden zusätzlich zu jenen der EU 5G Toolbox weitere Maßnahmen für Netze auf Basis von Open RAN empfohlen, wie z.B: Nutzung von Regulierungsbefugnissen, um die Pläne von großangelegter Bereitstellung von Open-RAN-Netzen zu prüfen und gegebenenfalls Einschränkungen, Verbote und/oder spezifische Anforderungen oder Bedingungen diesbezüglich aufzuerlegen; Verstärkung wichtiger technischer Kontrollen, wie Authentifizierung und Autorisierung, und Anpassung der Überwachung der Komponenten an eine modulare Umgebung; Bewertung des Risikoprofils von Open-RAN-Anbietern, externen Diensteanbietern im Zusammenhang mit Open RAN, Cloud-Dienst- bzw. -Infrastrukturanbietern und Systemintegratoren und Ausweitung der Kontrollen und Beschränkungen für Bereitsteller von Dienstleistungen; Behebung von Mängeln bei der Entwicklung technischer Spezifikationen: Der Prozess sollte die Gründungsprinzipien der Welthandelsorganisation für die Entwicklung internationaler Standards erfüllen, und Sicherheitsmängel sollten behoben werden; Aufnahme von Open-RAN-Komponenten zum frühestmöglichen Zeitpunkt in das zukünftige EU 5G Cybersicherheitszertifizierungsschema, das sich derzeit in der Entwicklung befindet.
Die Maßnahmen können je nach Konkretisierung direkt auf nationaler und/oder EU-Ebene umgesetzt werden, im Einklang mit den jeweiligen Zuständigkeiten. Bei der Auswahl der erforderlichen Maßnahmen entscheiden die einzelnen Mitgliedstaaten über die Eignung der Maßnahme, zuzüglich der Überprüfung der verfügbaren Ressourcen und einer daraus abgeleiteten Notwendigkeit allfälliger Zusammenarbeit mit anderen Mitgliedstaaten und/oder auf EU-Ebene.
Zusammenfassend wird eine umsichtige Herangehensweise an die neue Architektur des Open RAN empfohlen. Jeder Übergang von und Koexistenz mit bestehenden Technologien sollte mit ausreichendem Zeit- und Ressourcenbudget erfolgen, um Risiken im Voraus zu bewerten, geeignete Minderungsmaßnahmen umzusetzen und die Verantwortlichkeiten im Falle eines Ausfalls oder Vorfalls klar zu definieren. Bei der Suche nach Kosten-Leistungs-Kompromissen durch Open RAN sollten Betreiber und andere Interessensgruppen der Gewährleistung der Sicherheit, die erhebliche Investitionen erfordern kann, zusätzlich zu den bestehenden 5G-Cybersicherheitsmaßnahmen genügend Aufmerksamkeit schenken.
Die RTR wirkt bei diesen europäischen Aktivitäten zu Sicherheitsaspekten von Open RAN auf unterschiedlichen Ebenen mit und bringt ihre Expertise in den betreffenden Arbeitsgruppen ein, sei es in der NIS-Kooperationsgruppe in Unterstützung des BKA, in der ENISA oder bei BEREC.