Seit dem Überfall Russlands auf die Ukraine wird das Thema Cybersicherheit von vielen Experten intensiv diskutiert. Auch in diesen Tagen vergeht kaum ein Tag, an dem nicht vor einem bevorstehenden großen Cyberangriff auf deutsche Unternehmen oder die kritische Infrastruktur gewarnt wird. Doch wie groß ist die Gefahr wirklich? Das haben wir mit Manuel Atug gefragt. Er ist Cybersicherheitsexperte bei HiSolutions AG und Vorstandsmitglied des Cyber-Security Clusters Bonn.
- NRW.Global Business: Herr Atug, seit der Krieg in der Ukraine ausgebrochen ist, wird vermehrt vor russischen Hackern gewarnt. Wie groß ist die Gefahr eines Cyberangriffs denn wirklich?
Manuel Atug: Die Lage ist deutlich angespannt und das Risiko ist tatsächlich deutlich höher als ohne einen solchen Krieg. Aber es ist nicht so, dass wir uns momentan in einer katastrophalen Situation befinden. Es ist so, dass vor allem Hochwertziele stärker gefährdet sind.
- NRW.Global Business: Was sind Hochwertziele?
Dabei handelt es sich beispielsweise um hochrangige Politiker, wichtige Unternehmen und Akteure der kritischen Infrastrukturen. Diese können sich im Fokus von Hackerangriffen befinden.
- NRW.Global Business: Wie hoch schätzt das Bundesamt für Informationstechnik, kurz BSI, denn aktuell die Gefahr ein?
Bisher hat es noch nicht die Alarmstufe rot ausgesprochen, wir befinden uns nach Einschätzung der Experten bei Warnstufe orange. Das BSI schätzt die Lage also aktuell als überdurchschnittlich, aber nicht als kritisch ein. Damit kommt das Bundesamt zu der gleichen Einschätzung wie unsere Experten.
- NRW.Global Business: Viele andere Experten warnen aber vor dem großen Cyberkrieg.
Dafür, dass von vielen vermeintlichen Cyberwar-Experten in bunten Powerpoint-Präsentationen massiv vor einem bevorstehenden Cyberkrieg gewarnt wurde, ist es bislang vergleichsweise ruhig. Deshalb müssen wir uns zunächst einmal die Frage stellen: Wer könnte der Akteur eines Angriffs sein und was sein Ziel. Wenn wir jetzt auf den russischen Präsidenten Wladimir Putin und sein Militär blicken, dann ist die aktuelle Wahrscheinlichkeit eines offenen Cyberangriffs, mit dem er sich zu erkennen gibt, relativ gering.
- NRW.Global Business: Warum glauben Sie das?
Ein offener Angriff auf die deutsche Infrastruktur, der funktioniert und einen langanhaltenden Ausfall von beispielsweise Strom oder Wasser bewirkt, verursacht unweigerlich auch Todesfälle. Wenn das der Fall ist, sind wir sehr schnell bei einem Nato-Bündnisfall und das würde die westlichen Militärs aktivieren. Dieses Risiko wird Putin sicherlich derzeit nicht eingehen wollen. Und staatliche Cyberangriffe bergen noch ein anderes unkalkulierbares Problem.
- NRW.Global Business: Welches denn?
Wenn ich Raketen auf ein Wasserwerk abfeuere, ist das Wasserwerk danach ziemlich sicher kaputt. Wenn ich das Wasserwerk mittels Cyberattacken langanhaltend lahmlegen möchte, ist die Wahrscheinlichkeit viel geringer, dass es klappt: Zunächst einmal muss der Cyberangriff erfolgreich sein, und je langfristiger und dauerhafter der Ausfall der Anlage sein soll, desto komplexer ist das Unterfangen. Und selbst wenn mir das alles gelingt, ist die Wahrscheinlichkeit relativ hoch, dass ich Kollateralschäden dabei verursache.
- NRW.Global Business: Wie bei der Attacke auf die ukrainischen Kommunikationssatelliten?
Genau. Die Satelliten wurden angriffen, um die Kommunikation in der Ukraine zu stören und damit einen taktischen Vorteil zu haben. Doch man hat als Kollateralschaden fast 6.000 Windkraftanlagen in deutschen Windparks, die über das Satellitennetz gesteuert wurden, ausgeschaltet. Auch in Einsatzleitwagen des Katastrophenschutzes in Deutschland waren durch den Angriff Modems lahmgelegt. Am Ende hat der Ausfall der ukrainischen Kommunikation eine Stunde lang gedauert, doch die Kollateralschäden werden noch wochenlang behoben werden müssen.
- NRW.Global Business: Sind noch andere Akteure am Krieg beteiligt?
Die IT spiegelt unsere Gesellschaft wider, und zwar weltweit – wir haben einen Cyberraum für alle. Und wir finden dort von „sehr gut“ bis „sehr schlecht“ alles wieder: Ob es nun die Wirtschaft und die Bevölkerung oder alle staatlichen Akteure sind, die Cyberspionage oder -angriffe fahren, oder auch die nichtstaatlichen Akteure, die meinen, bei Angriffen mitwirken zu müssen.
- NRW.Global Business: Sie meinen sogenannte „Hacker-Kollektive“, oder?
Ja, es gibt solche Kollektive, zum Bespiel Anonymus. Zum anderen gibt es aber auch die organisierte Kriminalität im Netz. Und dann gibt es natürlich auch die, die den Krieg ausnutzen wollen, um damit Geld zu verdienen. All das läuft aber nicht strukturiert. Es sind Zivilisten, die sich in einen Krieg einmischen – und das ist natürlich immer problematisch.
- NRW.Global Business: Wenn Hacker ohne großen Plan vorgehen, bedeutet das auch, dass jedes Unternehmen Opfer einer Attacke werden kann?
Genau. Es kann sehr gut sein, dass ein mittelständisches Unternehmen ins Visier gerät, gleiches gilt für Kommunen. Das kann zum Beispiel dann passieren, wenn Hacker sich aufgrund von Patriotismus verpflichtet fühlen, auf alles loszugehen, was russisch aussieht. Dann zerstören und wüten sie in der IT-Infrastruktur eines Unternehmens, weil dieses seine Internetseite auch auf Russisch ins Netz gestellt hat. Und das kann alles wahnsinnig schnell gehen, wenn ein ethisch falsch abgebogener Hacker einmal merkt: Hier kann ich mit relativ einfachen Mitteln große Zerstörung anrichten.
- NRW.Global Business: Lassen Sie uns noch einmal zum „großen Cyberkrieg“ zurückkommen. Warum wird immer wieder davor gewarnt, aber tatsächlich bekommt man von großangelegten Attacken nur sehr wenig mit? Ist Deutschland vielleicht einfach nur sehr gut vor Cyberangriffen geschützt?
Bei den meisten Angriffen geht es nicht um das Zerstören, es geht um Datenspionage, Informationsgewinnung, Aufklärung und Propaganda. Diese Angriffe zielen darauf, an Informationen zu gelangen oder falsche Informationen zu streuen. Akteure sind dabei dann oft Geheimdienste und die versuchen nun einmal, ihre Arbeit im Geheimen zu machen. Das gilt im Übrigen natürlich nicht nur unter „Feinden“, sondern ist auch unter Staaten, die ein freundschaftliches Verhältnis pflegen, ein Dauerthema.
- NRW.Global Business: Wie müsste denn Ihrer Meinung nach eine gute Cyberabwehr in einem Unternehmen aussehen?
Cybersicherheit sieht tatsächlich sehr langweilig aus. Es reicht eben nicht, dass ich als Unternehmen ein super Security-Produkt kaufe und dann habe ich eine Lizenz und alles ist sicher. Es ist auch nicht die Lösung, auf eine Hype-Technologie wie Blockchain zu setzen. Wichtiger sind die Basics.
- NRW.Global Business: Welche wären das?
Um eines Mal etwas ausführlicher zu beschreiben: Es reicht nicht aus, ein Backup seines Systems zu machen. Das Backup muss regelmäßig gemacht werden, das Backup muss offline vorgehalten werden und es muss geübt werden, das Backup wieder einzuspielen. Wenn ich nie getestet habe, ob eine Wiederherstellung meines Systems funktioniert, dann weiß ich nicht, ob mein Backup überhaupt nützlich ist.
- NRW.Global Business: Wie erkenne ich das?
Unternehmen müssen wissen, wie lange eine Wiederherstellung ihrer Systeme dauert. Wenn ich als Mittelständler ohne IT-Systeme arbeitsunfähig und nach zwei Tagen insolvent bin, das Einspielen des Backups aber zwei Wochen dauert, bringt mir das schönste Backup leider nichts. Fragen Sie mal Unternehmen oder Startups, ob sie wirklich ein Backup-Konzept in der beschriebenen Form haben. Viele werden das ehrlicher Weise verneinen müssen. Schauen Sie nur mal auf den Landkreis Anhalt-Bitterfeld: Der war im Sommer letzten Jahres Opfer einer immensen Hackerattacke und dort war wirklich die gesamte Systemlandschaft betroffen.
- NRW.Global Business: Was war das Problem?
Backups gab es, aber nicht alles wurde gespeichert und nicht alles konnte richtig wiederhergestellt werden. Die sind jetzt so weit, dass sie den Katastrophenfall auslaufen lassen konnten. Aber richtig handlungsfähig sind sie erst in einigen Monaten – ein ganzes Jahr nach der Attacke.
- NRW.Global Business: Wie kann eine Kommune oder ein Unternehmen so etwas verhindern?
In Anhalt-Bitterfeld, aber auch in vielen anderen Unternehmen und Kommunen, wurden sich offenbar nicht die richtigen Gedanken darüber gemacht, welchen Plan man verfolgt, wenn einmal alles virtuell in Schutt und Asche liegt und wie es wieder aufgebaut werden muss: Haben wir genügend Rechner, haben wir genug Personal, das die Daten wieder einspielen kann, welche kritischen Systeme müssen als erstes wieder hochgefahren werden, wovon haben wir Backups, können diese ohne Probleme eingespielt werden und geht das alles schnell genug. Diese Fragen muss jedes Unternehmen und jede Verwaltung idealer Weise vorab beantworten können.
- NRW.Global Business: Was kann präventiv getan werden?
Sind feste Abläufe im Cyberschutz getroffen, ist schon vielen geholfen. Wichtig ist es aber auch zum Beispiel, Benutzerkonten zu löschen, wenn Mitarbeiter das Unternehmen verlassen. Denn dabei handelt es sich nicht nur um Karteileichen, sondern diese Accounts bieten Unbefugten die Möglichkeit, Zugriff auf die Systeme zu erlangen. Dasselbe gilt für eine Firewall, die zwar irgendwann einmal installiert, aber deren Regelwerke danach niemals strukturiert angepasst und weiterentwickelt wurden. Auch hier können Hacker Schlupflöcher finden. Oder nehmen sie Patches von wichtiger Software. Auch hier muss klar geregelt sein, wer diese installiert. Ist es das Unternehmen selbst oder ein Dienstleister. Sie sehen: Diese einfachen Basismaßnahmen, die nicht nach Hype und Glamour klingen, sind existenziell. Aber leider werden sie auch an vielen Stellen nicht wirklich gelebt.
- NRW.Global Business: Wenn ich als Unternehmen diese Sätze lese und mir eingestehen muss: Da habe ich bisher wirklich nicht genug getan. An wen kann ich mich wenden, wenn ich mich über gute Cybersicherheit informieren möchte?
Es gibt IT-Sicherheit-Basischecks, die von vielen Stellen angeboten werden. Hier erfahre ich als Unternehmen, wo ich Defizite habe. Wir als Cyber-Security Cluster Bonn veröffentlichen ebenfalls Informationsmaterial, das Unternehmen weiterhelfen kann. Darüber hinaus bieten wir eine Reihe von Veranstaltungen an, die sich mit dem Thema Cybersicherheit auseinandersetzen. Auch das neu geschaffene landeseigene Kompetenzzentrum Digital.Sicher.NRW hilft Unternehmen bei diesen Fragen. Auch das BSI versorgt umfangreich mit Informationen. Ein Punkt ist aber am wichtigsten.
- NRW.Global Business: Sagen Sie ihn uns.
Unternehmen müssen wirklich bereit sein, etwas tun. Es reicht nicht aus, sich Expertentipps anzuhören, sie müssen auch umgesetzt werden. Dafür braucht es Zeit und Ressourcen. Cybersicherheit in Unternehmen muss Chefsache sein.
NRW.Global Business: Herr Atug, vielen Dank für das Gespräch.