Fehlende Zuständigkeit im Bereich IT-Sicherheit bei KRITIS
Kritische Infrastrukturen besser vor Cyberangriffen schützen
Wo liegen in Deutschland die größten Herausforderungen, um das umzusetzen?
Von Patrizia Heun, Senior Client Manager, Milk & Honey PR
Anlässlich einer brisanten Diskussionsrunde zum Thema Kritische Infrastrukturen (KRITIS) kamen Anfang Mai 2022 Dr. Reinhard Brandl, Mitglied des deutschen Bundestages und digitalpolitischer Sprecher der Unionsfraktion, Dr. Jörg Ochs, IT-Leiter der Stadtwerke München, Cyberrisk-Berater Martin Braun sowie Ralph Kreter, Area VP Central and Eastern Europe beim Technologieanbieter Deep Instinct, in München zusammen.
Während es in den USA Organisationen wie die Cybersecurity and Infrastructure Security Agency (CISA), die offiziell für Cybersicherheit zuständig sind, und die auch strafverfolgungsrechtliche Kompetenzen besitzen, hinkt Deutschland hier hinterher.
"In Deutschland befassen sich mit diesem Thema mehr als 50 verschiedene Ämter - von der Bundes- über die Landes- bis zur kommunalen Ebene. Das Problem ist, dass es kein einheitliches Konzept gibt, im Bereich IT-Sicherheit. Deutschland ist sehr föderal aufgestellt. Jedes Bundesland, jede Stadt, jede Gemeinde ist für seinen Bereich verantwortlich. Hier müssen sich Zuständige aus dem Bereich IT-Sicherheit des jeweiligen Bundeslandes Gedanken machen, wie man vorgehen sollte, um diese Entwicklung voranzutreiben und diese Richtlinien auch in die Gemeinden tragen", sagt Ralph Kreter, Deutschland-Geschäftsführer der amerikanischen IT-Sicherheitsfirma Deep Instinct.
"Wir brauchen eine Ressort-übergreifende, bessere Zusammenarbeit und eine rechtliche Grundlage der einzelnen Behörden, die im IT- Sicherheitsbereich zuständig sind. Wir haben zwar das Bundesamt für Sicherheit in der Informationstechnik (BSI), das zwar beraten und warnen kann, jedoch keine aktive Cyberabwehr oder Verteidigung vornehmen kann. Zudem liegen Teile der Zuständigkeit beim Bundeskriminalamt, beim Bundesverfassungsschutz sowie dem BND. Die Bundeswehr hat eine eigene Abteilung für Cybersicherheit, die aber in Friedenszeiten und außerhalb von Mandaten nicht zum Einsatz kommt. Diese stark historisch bedingte Zuständigkeitsverteilung, basiert auf einer Trennung von äußerer und innerer Sicherheit, aber sie wird den heutigen Ansprüchen nicht mehr gerecht", erklärt Dr. Reinhard Brandl, Mitglied des deutschen Bundestages und digitalpolitischer Sprecher der Unionsfraktion
Gesetzliche Regelung und Verständnis von IT-Sicherheit
"Ich hoffe, dass die Ampel-Regierung auf die veränderte Sicherheitslage auch mit Änderungen in der Zuständigkeit reagiert. Nancy Faser hatte ja bereits eine Grundgesetzänderung mit einer teilweisen Verlagerung der Zuständigkeiten bei schweren Cyberangriffen von den Ländern auf den Bund angekündigt, was wirklich positiv ist. Da sehe ich auch die Verantwortung mehr beim Bund und wir brauchen hierfür die rechtlichen Regelungen, um für solche Fälle vorbereitet zu sein und handeln zu können", sagt Brandl.
"Bei Hackerangriffen werden oft (für das Unternehmen) unbekannte Schwachstellen ausgenutzt. Das sind ungepatchte Systeme, Personalmangel und unbewachte Firewalls. Es wird ein großer Blumenstrauß an Schadsoftware verteilt und dann geschaut, wen es trifft und wo man Geld machen kann als Cyberkrimineller. Natürlich gibt es auch gezielte Angriffe, aber diese kommen nicht so oft vor und wenn doch, muss man sich fragen, warum. Das liegt daran, dass Unternehmen nicht erkennen in welchem Angriffsfokus sie stehen, welche Risiken sie haben und welche Schwachpunkte im System bestehen. Das Problem ist hier, dass IT und Management nicht dieselbe Sprache sprechen, da es schnell zu technisch wird. Daher ist es wichtig ein Verständnis und Awareness für die Risiken des eigenen Unternehmens zu schaffen", erklärt Martin Braun Cyberrisk-Berater und CEO CyberSecurity Manufaktur GmbH.
Rechtliche Schritte könnten hierbei helfen
"Wir sehen es schon beim Datenschutz. Hier gibt es mit der DSGVO bereits einen gesetzlichen Rahmen und Bußgelder. Für die Cybersecurity muss das zwangsläufig auch passieren", bemerkt Braun.
Herausforderungen und Sicherheit von KRITIS
"Cybersecurity in den Netzen und der Energieversorgung ist für uns schon lange ein Thema. Seit dem Angriff auf das ukrainische Stromnetz in 2014, haben wir auch einen stärkeren Fokus darauf gelegt und mit Experten zusammengearbeitet, um die Sicherheit zu optimieren. Aktuell haben wir über 50 Mitarbeiter im Bereich IT-Sicherheit eingesetzt, um die Netze zu schützen und achten auch bereits bei der Entwicklung, zum Beispiel unserer Apps, darauf diese so sicher wie möglich zu machen", sagt Dr. Jörg Ochs, IT-Leiter der Stadtwerke München.
"Betrachten wir die Versorgungssicherheit der kritischen Infrastruktur in München: Das Wasser kann uns keiner abdrehen, da wir keine Pumpen benötigen, die gehackt werden könnten. Das Wasser kommt aus den Bergen über ein starkes Gefälle. Das Gasnetz hat drei Übergabestationen und selbst, wenn diese abgedreht werden sollten, könnte man die Stadt noch drei Wochen versorgen. Fernwärme ist etwas kritischer, denn das muss funktionieren. Daher sind wir so aufgestellt, dass im Falle eines Angriffs diese auch noch manuell gesteuert werden kann. Das kritischste System ist das Stromnetz aufgrund der hohen Vernetzung. Aber auch hier gibt es eine Regelung, denn München hat das Recht ein so genanntes Inselnetz zu bilden und sich bei einem Zusammenbruch vom Europäischen Verbundnetz zu trennen. Das geht, da sich München aus eigener Energie versorgen könnte, unter anderem mit unseren Wasserkraftwerken. Ein Problem wären aber die SAP-Systeme, die bei einem Angriff verschlüsselt werden könnten. Dann könnten wir keine Rechnungen mehr stellen", erläutert Dr. Ochs.
"Leider ist nicht jeder in der Lage im KRITIS-Bereich so vorzusorgen wie die Stadtwerke München, besonders kleinere Unternehmen. Das größte Risiko sehe ich bei den Stromversorgern und Krankenhäusern. Es gibt etliche Beispiele, die zeigen, dass sich manche Firmen nach einem Cyberangriff nicht mehr erholen und zumachen müssen", meint Kreter.
"Jede freiwillige Feuerwehr in jedem Dorf macht Notfall-Übungen, um gewappnet zu sein, wenn es brennt. Ich möchte das jeder kleinen und großen Gemeinde nahelegen im Cybersecurity Bereich, denn genau darum geht es – vorbereitet und gewappnet sein im Ernstfall", fordert Kreter.
Fachkräftemangel im IT Sicherheitsbereich
"Wenn man das Ausbildungssystem in Deutschland ansieht, ist dort nicht viel passiert. An der IHK gibt es die Ausbildungsberufe Fachinformatiker für Systemintegration und Fachinformatiker für Anwendungsentwicklung. In der IT und vor allem in der IT-Sicherheit hat sich jedoch sehr viel getan. Hier müssen neue Berufsbilder und neue Anreize geschaffen werden, wie kürzere Ausbildungszeiten", erklärt Braun.
"Man muss hier andere Wege beim Recruiting für IT-Mitarbeiter gehen. Wir, als Stadtwerke München, stecken knapp eine halbe Million Euro jährlich in Werbung – von Kinowerbung, Plakaten, über Tech-Talks und Podcasts. Wir werben aber nicht mehr mit den Stadtwerken München, sondern wir werben mit Menschen und Projekten und spannenden Themen. Wir zeigen unseren Mitarbeitern den Sinn hinter ihrer Tätigkeit, nämlich die Tatsache, dass ohne sie München nicht so rund laufen würde, im Bereich Verkehr oder Energieversorgung", sagt Dr.Ochs. (Deep Instinct: ra)
eingetragen: 18.06.22
Newsletterlauf: 02.08.22
Deep Instinct: Kontakt und Steckbrief
