„Das Hollywood-Bild von Hacker*innen führt in die Irre“

Sind Kritische Infrastrukturen in Deutschland derzeit gefährdeter als vor dem Krieg in der Ukraine?

Man hätte vielleicht gedacht, dass die Motivation für Cyberangriffe auf Kritische Infrastrukturen gestiegen wäre, nachdem Deutschland die Ukraine mit Waffen beliefert hat. Im konkreten Fall sehen wir aktuell aber keine besondere Gefahr durch Cyberbedrohungen. Zu Beginn des Krieges kam es weltweit zu einer Häufung von Angriffen durch bekannte Gruppen. Das ebbte aber ab. Bekannt ist, dass die Russland nahe stehende Killnet-Gruppe in den USA aktiv ist und Websites von Flughäfen lahmgelegt hat – allerdings ohne Gefahr für die Stabilität der Infrastruktur selbst.

Welche Infrastrukturen werden am häufigsten angegriffen?

Im Prinzip alle und ständig. Wohl am gefährdetsten sind die digitale Kommunikation und davon abhängige Industriebereiche.  Ein Großteil unserer Infrastruktur – von der Energieversorgung bis zum Gesundheitssystem – ist heutzutage von digitalen Systemen abhängig und damit ein klassisches Ziel von Cyberangriffen. Manche Infrastrukturen umgehen diese digitale Kommunikation bereits: Ein Hochfrequenzsendemast auf dem Hohen Venn in Belgien verbindet die Börsen in London und Frankfurt direkt miteinander. Zwar geht es dabei in erster Linie darum, besonders schnelle Finanz-Transaktionen zu ermöglichen, aber auch die Cybergefahr ist nicht vorhanden. Der Gesundheitssektor ist ständig einer Flut von Ransomware ausgesetzt. Diese Schadprogramme unterbinden den Eingriff auf Daten und Systeme und Kriminelle erpressen so Lösegeld. Um aber eine Infrastruktur komplett lahmzulegen, bedarf es immer noch sehr vieler Ressourcen – genügend kompetenten, ausgebildeten Informatikern und sehr viel Zeit. Das ist ein ganz bürokratischer Vorgang. Dass ein Staat Menschen in diesem Ausmaß zu Hacker*innen schon ausbildet hat, halte ich für unwahrscheinlich. In der Zukunft könnte das anders aussehen.

Viel gefährlicher ist also der physische Angriff?

Ja, denn diese Angriffe sind deutlich einfacher. Die Bahn ist abhängig von digitalen Systemen für ihre gesamte Kommunikationsinfrastruktur. Dort wird mit Hochdruck daran gearbeitet, sie cybersicher zu machen. Aber wie wir Anfang Oktober gesehen haben, war es die Sabotage der Hardware, von Kabeln, die zu massiven Problemen geführt hat. Groß ist auch die Sorge um Atomkraftwerke, aktuell dem im ukrainischen Saporischschja, das zuletzt mehrfach bombardiert wurde. Oder denken wir an die Zerstörung der Gas-Pipelines Nord Stream 1 und 2. Die physischen Angriffe sind deutlich einfacher und bedürfen keiner außergewöhnlichen Organisation von Menschen. Die Idee eines Cyberkriegs ist nicht neu. Doch das Hollywood-Bild von Hacker*innen führt in die Irre, denn wir wissen mittlerweile, dass ein Cyberkrieg mehr Ressourcen braucht als ein Angriff mit Bomben und Raketen und zwar mit voraussichtlich geringerer Wirkung.

Wie gut lassen sich Angriffe nachverfolgen?

Nach einem Cyberangriff sichern Spezialist*innen die Daten und versuchen herauszufinden, was genau passiert ist. Dann beginnt die Suche nach Mustern und sogenannten Akzenten, die wir von anderen Cyberangriffen schon kennen. Es kann heute mehrere Monate dauern, bevor man relativ sicher ist, von wo der Angriff kommt. Es ist ein komplexer Prozess. Vor fast 20 Jahren gab es einen Angriff auf Server meiner Forschungsgruppe in der Universität Bielefeld. Jemand hatte versucht, in unser System zu kommen, um dieses für den Angriff anderer Systeme zu nutzen. Wir haben alles zu einem Hacker aus Rumänien zurückverfolgt, der Passwörter abgehört hatte. Der war für ähnliche Dinge bereits bekannt. Solch ein Vorgehen ist heute aber Geschichte. Wenn man anonym bleiben möchte, sind Cyberangriffe von Vorteil. Aber wenn es für die Angreifer*innen nicht notwendig ist, sich zu verstecken, sind Bomben und Raketen immer noch zerstörungseffektiver.

Wie lässt sich die Kritische Infrastruktur gegen Cyberangriffe besser schützen?

Die beste Verteidigung ist, Systeme vom Internet zu trennen. Nicht mit dem Netz verbunden zu sein hat aber betriebliche Nachteile, denn eine schnelle Reaktion ist im Krisenfall von Vorteil und dies ist mit einer Netzverbindung oft einfacher. Diese widersprüchlichen Bedürfnisse müssen vom Betriebsmanagement jongliert werden. Und das am besten genormt – über nationale und internationale Standards. Wir IT-Expert*innen sehen auch Bedarf bei der Schulung und Ausbildung in den Unternehmen, nicht nur im Sicherheitsbereich. Die Aufmerksamkeit für Cyberangriffe muss wachsen. Das passiert aktuell durch viele private Unternehmen: Der Markt wächst mit dem Bedarf. Aber auch die Software-Hersteller müssen nachbessern. Softwares müssen zuverlässiger werden, sprich: genau das tun, was wir wollen, und nicht das, was wir nicht wollen. Einige von uns haben über die Jahrzehnte an Methoden für die Erhöhung von Softwarezuverlässigkeit gearbeitet, diese Methoden müssen effektiver genutzt werden.  In den Treffen zu Cybersicherheit, denen ich beiwohne, werden seit Beginn des Krieges in der Ukraine dieselben Dinge bearbeitet wie schon vor zehn Jahren. Es ist nichts Neues hinzugekommen. Niemand fragt panisch: „Was tun wir jetzt bloß?!“