Martin Damerow

Frau Plattner, dass in der Ukraine und in Nahost gekämpft wird, kann jeder sehen, anhand schrecklicher Bilder. Es tobt aber gleichzeitig ein globaler Krieg, der weitgehend unsichtbar abläuft, Tag für Tag – Konflikte im Cyberraum. Wie hält sich Deutschland auf dem virtuellen Schlachtfeld? Je nachdem, wen man fragt, bekommt man da unterschiedliche Antworten. Eine Firma, die gerade einen Ransomware-Angriff hinter sich hat, würde sagen: "Wir sind in einem katastrophalen Zustand". Wenn wir uns aber vergleichen mit anderen Ländern, dann würde die Antwort lauten: "Wir schlagen uns verhältnismäßig gut." Ich glaube, wir sind nicht schlecht aufgestellt, aber bei Weitem noch nicht ausreichend vorbereitet, zumal wir ein sehr attraktives Ziel sind. Wenn bei uns jemand an kritischen Stellen durchkommt mit seiner Schad-Software, können die Auswirkungen rasch verheerend sein.((ContentAd))Eine Ihrer Hauptaufgaben ist es, die IT-Struktur des Bundes und seiner Institutionen zu schützen. Dazu kommt die "kritische Infrastruktur" – Flughäfen, Bahnverkehr, Energieversorger. Steigt die Zahl der Attacken? Ja, das ist definitiv so. Damit müssen wir umgehen, und das ist alles andere als einfach. Um das mal konkret zu machen: Der Schaden durch Cyberattacken ist bezifferbar. Laut Einschätzung des Branchenverbands Bitkom beträgt er allein in Deutschland jährlich rund 200 Milliarden Euro. Als ich diese Zahl zum ersten Mal gehört habe, habe ich ganz schön gestaunt. Setzen Sie das mal in Relation zum Bundeshaushalt, der beträgt für 2023 rund 476 Milliarden Euro. Das ist schon substantiell. Wir als BSI werden Anfang November unseren jährlichen Bericht zur Lage der IT-Sicherheit in Deutschland vorstellen und konkrete Zahlen dazu veröffentlichen.((Platzhalter))Wo endet eigentlich Ihre Kompetenz, und wo fängt in puncto Cyberkriminalität die der Geheimdienste oder des BKA und der Landeskriminalämter an? Da gibt es ein paar Trennlinien, die der Gesetzgeber gezogen hat, gleichzeitig gibt es aber eine große Zahl von Akteuren auf diesem Feld. Im öffentlichen Bereich kümmern sich bundesweit rund 80 verschiedene Stellen um die IT-Sicherheit im Land. Dass das sauber koordiniert wird, ist mir ein großes Anliegen. Menschen, die in diesem Sektor fit sind, sind rar gesät. Wir können es uns also nicht erlauben, leichtfertig mit unseren beschränkten personellen Ressourcen umzugehen, indem wir z.B. Doppelarbeit leisten. Sondern wir müssen so eng koordiniert zusammenarbeiten, dass wir gemeinsam maximale Wirkung entfalten.<h2>"Es muss eine Stelle geben, die das Ganze koordiniert"</h2>Können Sie ein Beispiel nennen? Natürlich. Was mir besonders wichtig ist, ist das Cybersicherheits-Lagebild. Es muss eine zentrale Stelle im Land geben, die weiß: "Wir haben gerade folgende problematische Situation – das ist gerade die IT-Temperatur in Deutschland". Das kann nicht an 17 Stellen angesiedelt sein, sonst macht es keinen Sinn. Die Zuständigkeit, wer am Ende etwas unternimmt, um einer unter Druck geratenen Behörde oder einer angegriffenen Firma wieder auf die Beine zu helfen, die kann man in einem zweiten Schritt verteilen, keine Frage. Aber es muss eine Stelle geben, die das Ganze koordiniert. Das müssen wir hinbekommen, damit jemand, der Hilfe sucht, weiß, an wen er sich mit seinem Problem wenden kann.Von wo kommen die meisten Cyberangriffe, die eine echte Bedrohung z.B. der öffentlichen Infrastruktur darstellen? Da kommt vieles aus dem kriminellen Milieu, aber wenn Ihre Frage eher auf Staaten abzielt, dann sehen wir eine hohe Aktivität aus Russland, aus China und auch aus dem Iran. Dabei ist die Stoßrichtung unterschiedlich. Russischen Angreifern scheint es auf möglichst viel Chaos und Desinformation anzukommen, oder auch darauf, mit Schad-Software möglichst viel Profit abzusaugen. Chinesische Akteure verlegen sich nach unserer Beobachtung eher darauf, möglichst lange unerkannt zu bleiben und möglichst viele Informationen abzugreifen, die sich später für sie irgendwie gewinnbringend einsetzen lassen.((Platzhalter))Dass die Urheber solcher Cyber-Attacken vor Gericht landen, hört man nahezu nie. Kommen die tatsächlich meist ungeschoren davon oder täuscht dieser Eindruck? Das können meine Kollegen in den Strafverfolgungsbehörden sicher besser beantworten als ich, aber so viel kann ich sagen: Es ist nicht so, dass nichts passiert.((Module))Sie sind jetzt mehr als 100 Tage im Amt und haben sich einen Überblick verschafft. Was erachten Sie als Ihre größten Baustellen in der näheren Zukunft? Ganz wichtig ist mir, dass wir das eher wenig beachtete Thema Cybersicherheit in Deutschland deutlich sichtbarer auf die Agenda heben. Dazu gehört das Erwerben technischer Kompetenzen, auch da können wir sicher besser werden. Und nicht zu vergessen ist die Cyberresilienz, also die Fähigkeit, trotz Cyberangriffen handlungsfähig zu sein. Das gilt für Unternehmen gleichermaßen wie in Organisationen oder staatlichen Institutionen. Zu guter Letzt müssen wir die Digitalisierung weiter vorantreiben. Da befinden wir uns gerade in einer Art Zwischenwelt: Deutschland ist, salopp formuliert, nur halb-digitalisiert. Es gibt viel IT-Altbestand, der noch in Betrieb ist, der ist oft höchst vulnerabel. Eine moderne, einheitliche IT-Struktur würde uns deutlich besserstellen.Große Firmen haben die Ressourcen, um sich z.B. gegen Ransomware zu wehren, die IT-Strukturen von Mittelständlern und kleinen Betrieben sind meist offen wie ein Scheunentor. So werden für die Wirtschaft lebenswichtige Lieferketten manchmal rasch lahmgelegt. Wie kann das BSI da helfen? Das wird ein sehr langer Weg, schnelle Erfolgsmeldungen wird es kaum geben. Kleine und mittlere Betriebe werden sich Gedanken machen müssen, ob sie wirklich alles selber machen möchten, oder ob sie ihre IT-Sicherheit jemandem anvertrauen, der sich damit auskennt. Doch wir unterstützen jene, die noch nicht so weit sind, schon heute.((Platzhalter))Wie sieht das konkret aus? Mit Informationsflyern? Wir stellen dazu umfangreiche Informationen bereit, aber das ist natürlich nicht alles: Ein ganz wichtiger Baustein ist die Allianz für Cyber-Sicherheit, die ist ein starker Multiplikator in die Betriebe. Aktuell gehören der Initiative schon mehr als 7000 Unternehmen, Verbände und Institutionen an. Vertreten sind da unter anderem IT-Dienstleistungs- und -Beratungsunternehmen sowie IT-Hersteller. Ferner betreibt das BSI eine <a href="https://www.bsi.bund.de/DE/Service-Navi/Kontakt/Service-Center/service-center_node.html">Service-Hotline</a>: Das heißt, wenn etwas gerade schiefläuft – oder auch nur, wenn man eine Frage zur IT-Sicherheit hat - , kann man dort anrufen und wird beraten. Letztlich bleibt ein Großteil der Verantwortung aber bei den Unternehmen. Die müssen sich genau ansehen: Wie sieht meine IT-Struktur aus, und wo gibt es Einfallsmöglichkeiten? Wenn dort Löcher zu stopfen sind, kriegt man das aber eben nicht zum Nulltarif, das ist mit Kosten verbunden. Dieses Bewusstsein muss sich herausbilden.Einst hackten sich Teenager, die in abgedunkelten Zimmern voller Bildschirme und Kabel lebten und sich von Energieriegeln ernährten, in geschützte Server ein, später staatlich sanktionierte Computerspezialisten – inzwischen steckt hinter ernstzunehmenden Attacken oft eine KI. Wie stellt sich Ihre Behörde darauf ein? Künstliche Intelligenz bietet faszinierende Möglichkeiten – in beide Richtungen, ich sehe durchaus großes Schadenspotenzial. In diesem Bereich forschen wir intensiv, haben Teams, die sich eigens dem Thema KI widmen, damit wir auf unterschiedliche Bedrohungsszenarien reagieren können. Klar ist: Wir müssen Schritt halten können. Das heißt, so rasch wie die KI-gestützten Angriffe professioneller werden, müssen auch wir professioneller werden. Diese Balance müssen wir wahren. Etwas, das künstlich erzeugt ist, lässt sich im Zweifelsfall aber auch wieder demaskieren – mit derselben Art von Technologie. Da sehe ich uns ganz gut aufgestellt.((Platzhalter))Teilen Sie die Einschätzung mancher Experten, dass generative KI-Software wie etwa ChatGPT die Cyberkriminalität weiter "demokratisieren" und damit die politische Instabilität verschärfen könnte? Nun, ein paar Skills braucht man schon, damit so etwas Wirkung entfalten kann. Es muss aber jedem, der damit herumspielt, klar sein: Je nach Ausprägung ist man ganz schnell bei einer Straftat, da gibt es nichts dran zu verniedlichen. Wer so etwas tut, muss mit Konsequenzen rechnen.((ContentAd))Um einen Ransomware-Angriff auszuführen, braucht man letztlich keine großen IT-Kenntnisse. Kriminelle sind dem Staat und seinen Strafverfolgungsbehörden da anscheinend manchmal einen Schritt voraus. Braucht Deutschland mehr qualifiziertes Personal, um sich solchen Szenarien zu stellen, oder wo sehen Sie Ansatzpunkte? Ein Ransomware-Angriff ist ganz klar eine Straftat, und man sollte tunlichst vermeiden, sowas auch nur zum Spaß mal auszuprobieren. Wir als Staat stehen in der Verantwortung, dass solche Angriffe nicht zunehmen. Da sind wir wieder bei meinem Argument von vorhin: Wir müssen Cybersicherheit sichtbarer auf die Agenda heben, das Thema nicht nur den Akteuren in der Wirtschaft bewusster machen, sondern durchaus schon in den Lehrplänen der Schulen verankern. Ich würde mir wünschen, dass bereits dort mehr Informatik-Grundverständnis vermittelt wird. Wenn wir in puncto Digitalisierung und IT-Sicherheit global vorne mitspielen wollen, ist das ein ganz wichtiger Baustein auf dem Weg zur Cybernation Deutschland.(Dieser Artikel erschien erstmals im Oktober 2023)

Sicherheit

Hoffentlich kann uns diese Mathematiker Präsidentin Frau Plattner mit seit Juli 2023 im obersten BSI-Amt wirklich so schützen wie das unbedingt nötig wäre.
Denn beim um jeden Preis Alles zu digitalisiern und damit auch immer mehr hackbar zu machen ist eine kaum zu lösende Mammutaufgabe. Sei es politisch und wirtschaftlich gegenüber anderen Staaten, 200 Milliarden Euro Jahres Verlust durch Hacker sind wohl kein Pappenstil.
Oder z.B. auch alles digital bis hinunter reichend zu den nur für gesetzlich Versicherten gültig mit ihren sensibelsten Daten in der verordneten E-Akte - ist wirklich schützend machbar gegen all die kriminellen Cyber Begehrlichkeiten ?

Philip Hauck

Hackerangriff

Hammerbacher, Pfleiderer, Lammsbräu: So schützen sich Neumarkter Firmen gegen IT-Angriffe

Plattner

Johannes Lenz

Motel One

Sicherheitslücke bei Motel One: Sensible Daten von Millionen Hotelgästen geleakt

Im Netz liegen Spaß und Gefahr oft nah beieinander.

9 Fakten, die Sie über das Internet wissen müssen

https://images.nordbayern.de/image/contentid/policy:1.13685837:1697100596/image/e-arc-tmp_20160229-145628-009.jpg?f=16:9&h=320&m=FIT&w=600&$p$f$h$m$w=45b28f8

/wirtschaft/deutschlands-oberste-it-wachterin-verrat-aus-diesem-land-kommen-die-meisten-cyber-attacken-1.13515104

Claudia Plattner hat einen spannenden Job: Sie muss das Land vor Cyber-Kriminellen schützen. Die Präsidentin des Bundesamts für Sicherheit in der Infomationstechnik (BSI) verrät, wieso sie keine Angst vor KI hat - und wo sie keinen Spaß versteht.

Deutschlands oberste IT-Wächterin verrät: Aus diesem Land kommen die meisten Cyber-Attacken