Die Bedrohung durch Cyberangriffe auf kritische Infrastruktur w\u00e4chst rasant. W\u00e4hrend deutsche Unternehmen und Beh\u00f6rden zunehmend auf moderne Sicherheitskonzepte setzen, bleibt die Realit\u00e4t oft hart: J\u00e4hrlich werden Dutzende gro\u00dfe Stromnetze, Wasserwerke und Verkehrssteuerungssysteme gezielt angegriffen \u2013 nicht aus finanziellen Motiven, sondern als Waffe im globalen Machtkampf. Die j\u00fcngsten Vorf\u00e4lle in der Ukraine und die j\u00fcngsten Warnungen der Bundesregierung vor \u201eState-Sponsored Cyber Warfare\u201c zeigen: Wer die digitalen Abh\u00e4ngigkeiten der modernen Gesellschaft kontrolliert, entscheidet auch \u00fcber Leben und Wohlstand. Doch wie reagiert Deutschland konkret \u2013 und wo scheitern die Schutzma\u00dfnahmen?<\/p>\n
Die meisten Cyberangriffe auf kritische Infrastruktur stammen heute nicht mehr von Hackern mit finanziellen Motiven, sondern von Staaten oder staatlich unterst\u00fctzten Gruppen. Ein Beispiel ist der Angriff auf das ukrainische Stromnetz im Februar 2022, bei dem \u00fcber 300.000 Haushalte ohne Strom blieben \u2013 ein gezielter Angriff auf die Zivilbev\u00f6lkerung. \u00c4hnliche Vorf\u00e4lle gab es auch in Russland, wo 2023 Angriffe auf die Energieversorgung in der Region Perm dokumentiert wurden. Die Bundesregierung verweist darauf, dass \u201eausl\u00e4ndische Akteure\u201c f\u00fcr die meisten Vorf\u00e4lle verantwortlich sind, doch die genauen Hintergr\u00fcnde bleiben oft unklar. Die meisten Angriffe folgen einer klaren Strategie: Sie sollen Systeme destabilisieren, ohne dass die Infrastruktur komplett zusammenbricht \u2013 also eine Art \u201edigitaler Sabotage\u201c.<\/p>\n
Ein weiterer Faktor sind \u201eAdvanced Persistent Threats\u201c (APT-Gruppen), die gezielt nach Schwachstellen suchen. Laut dem Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) wurden 2022 allein in Deutschland \u00fcber 1.200 Vorf\u00e4lle bei kritischen Infrastrukturen gemeldet \u2013 ein Anstieg von 40 % gegen\u00fcber dem Vorjahr. Besonders gef\u00e4hrdet sind dabei Energieversorger, Wasserwerke und Verkehrsnetze, da diese oft veraltete Systeme nutzen oder nur unzureichend gesch\u00fctzt sind. Die APT-Gruppe \u201eAPT29\u201c (auch bekannt als \u201eCozy Bear\u201c) wurde bereits mehrfach f\u00fcr Angriffe auf NATO-St\u00fctzpunkte und deutsche Regierungsgeb\u00e4ude verantwortlich gemacht. Doch selbst wenn die Angreifer identifiziert werden, dauert es oft Monate, bis die Vorf\u00e4lle behoben sind \u2013 ein Problem, das die deutsche Sicherheitsarchitektur bis heute nicht l\u00f6sen kann.<\/p>\n
Trotz aller Bem\u00fchungen gibt es klare Schw\u00e4chen in der deutschen Cyberabwehr. Ein zentrales Problem ist die Fragmentierung der Verantwortung: W\u00e4hrend das BSI f\u00fcr die allgemeine Sicherheit zust\u00e4ndig ist, obliegt die konkrete Umsetzung der Schutzma\u00dfnahmen den einzelnen Unternehmen und Beh\u00f6rden. Laut einer Studie der Hochschule der Bundeswehr M\u00fcnchen fehlen in 60 % der kritischen Infrastrukturen moderne Echtzeit-Monitoring-Systeme, die Angriffe fr\u00fch erkennen k\u00f6nnten. Besonders kritisch ist die Situation bei \u00e4lteren Systemen wie SCADA (Supervisory Control and Data Acquisition), die oft noch auf veraltete Protokolle wie Modbus oder DNP3 setzen \u2013 Ziele, die Angreifer gezielt ausnutzen.<\/p>\n
Ein weiteres Problem ist die mangelnde Interoperabilit\u00e4t zwischen den verschiedenen Sicherheitsl\u00f6sungen. W\u00e4hrend einige Energieversorger auf Cloud-basierte Sicherheitsplattformen umsteigen, bleiben andere bei lokalen Firewalls und Intrusion-Detection-Systemen, die oft nicht miteinander kommunizieren. Die Bundesregierung hat zwar seit 2015 das \u201eCybersicherheitsgesetz\u201c eingef\u00fchrt, das Unternehmen zur regelm\u00e4\u00dfigen Pr\u00fcfung ihrer Systeme verpflichtet, doch die Umsetzung ist ungleichm\u00e4\u00dfig. Laut dem BSI werden nur etwa 30 % der kritischen Infrastrukturen regelm\u00e4\u00dfig nach aktuellen Standards \u00fcberpr\u00fcft. Zudem fehlt es an einer zentralen Plattform, die Angriffe in Echtzeit auswerten und koordiniert reagieren kann \u2013 ein Mangel, der sich in den letzten Vorf\u00e4llen immer wieder zeigt.<\/p>\n
Doch die Probleme gehen tiefer: Viele Unternehmen untersch\u00e4tzen die Bedrohung und setzen auf passive Sicherheitsma\u00dfnahmen wie Firewalls statt auf proaktive Abwehrstrategien. Laut einer Umfrage des Fraunhofer-Instituts f\u00fcr sichere Intelligenz und Kommunikation (SIC) reagieren nur 20 % der Unternehmen innerhalb von 24 Stunden auf einen erfolgreichen Angriff. Das Problem ist besonders bei kleinen und mittleren Unternehmen (KMUs) akut, die oft keine eigenen Sicherheitsabteilungen haben und auf externe Dienstleister angewiesen sind \u2013 doch diese sind nicht immer in der Lage, komplexe Angriffe zu erkennen. Die Folge: Viele Vorf\u00e4lle werden erst Tage oder Wochen sp\u00e4ter gemeldet, oft zu sp\u00e4t, um Sch\u00e4den zu begrenzen.<\/p>\n
Die deutsche Regierung hat in den letzten Jahren mehrere Initiativen gestartet, um die Cyberabwehr zu st\u00e4rken. Dazu geh\u00f6ren das \u201eZentrum f\u00fcr Cybersicherheit\u201c in der Bundeswehr, das seit 2021 gezielt Cyberdefensivkr\u00e4fte ausbildet, sowie die Einf\u00fchrung des \u201eCyber-Sicherheitsgesetzes\u201c, das Unternehmen zur regelm\u00e4\u00dfigen Pr\u00fcfung ihrer Systeme verpflichtet. Zudem hat die Bundesregierung im M\u00e4rz 2024 das \u201eNationales Cyberabwehrkonzept\u201c ver\u00f6ffentlicht, das erstmals auch die Zusammenarbeit mit der Zivilbev\u00f6lkerung und lokalen Beh\u00f6rden betont. Doch die Umsetzung bleibt ein Problem: W\u00e4hrend gro\u00dfe Energieversorger wie RWE oder E.ON bereits moderne Sicherheitsl\u00f6sungen nutzen, hinken viele kleinere Unternehmen hinterher. Hier k\u00f6nnte eine gezielte F\u00f6rderung durch den Staat helfen \u2013 etwa durch Subventionen f\u00fcr die Anschaffung von Echtzeit-Monitoring-Systemen oder Schulungen f\u00fcr Mitarbeiter.<\/p>\n
Ein weiterer Ansatz w\u00e4re die Schaffung einer zentralen Plattform, die Angriffe in Echtzeit auswerten und koordiniert reagieren kann. Das BSI hat bereits ein \u201eCyber-Notfallzentrum\u201c eingerichtet, doch seine Kapazit\u00e4ten reichen nicht aus, um alle Vorf\u00e4lle zu \u00fcberwachen. Hier k\u00f6nnte eine enge Zusammenarbeit mit internationalen Partnern wie der NATO oder dem EU-Cybersecurity-B\u00fcro helfen, um schneller auf Angriffe zu reagieren. Zudem w\u00e4re eine strengere Regulierung der kritischen Infrastrukturen sinnvoll \u2013 etwa durch verbindliche Sicherheitsstandards, die alle Unternehmen einhalten m\u00fcssen. Solche Ma\u00dfnahmen w\u00fcrden nicht nur die Abwehr st\u00e4rken, sondern auch die Vertrauen der Bev\u00f6lkerung in die digitale Infrastruktur wiederherstellen, die in den letzten Jahren mehrfach unter Druck geraten ist.<\/p>\n
Ein konkretes Beispiel f\u00fcr eine solche Ma\u00dfnahme ist die Einf\u00fchrung eines \u201eDigitalen Schutzschlosses\u201c f\u00fcr kritische Systeme, wie es bereits in einigen europ\u00e4ischen L\u00e4ndern praktiziert wird. Dabei w\u00fcrden die wichtigsten Systeme in einem gesch\u00fctzten Netzwerk betrieben, das nur \u00fcber autorisierte Gateways zug\u00e4nglich ist. Solche Ma\u00dfnahmen h\u00e4tten den Vorteil, dass Angriffe sofort erkannt und abgewehrt werden k\u00f6nnen, ohne dass die gesamte Infrastruktur lahmgelegt wird. Zudem k\u00f6nnten Unternehmen durch solche Standards gezwungen werden, ihre Systeme regelm\u00e4\u00dfig zu aktualisieren und auf aktuelle Bedrohungen zu reagieren \u2013 ein Schritt, der bisher oft auf freiwilliger Basis erfolgt.<\/p>\n