Energieversorger & Co. schützen

Anschlag auf die Nord-Stream-Pipeline, Sabotage am Kabelnetzwerk der Deutschen Bahn oder Ransomware-Angriffe auf Krankenhäuser, die zum Ausfall der Notfallversorgung führen – die Attacken auf Kritische Infrastrukturen (KRITIS) nehmen zu. Erfolgreiche (Cyber-)Angriffe auf KRITIS-Betreiber können für die Bevölkerung gravierende Folgen haben. Sie reichen von großflächigen Stromausfällen über Störungen der Wasserversorgung bis zum längerfristigen Ausfall des Internets. 

Mit Beginn des russischen Angriffskriegs gegen die Ukraine rückte der Schutz Kritischer Infrastrukturen verstärkt in den Fokus der öffentlichen Aufmerksamkeit. Doch bislang war glücklicherweise „eine übergreifende Angriffskampagne gegen deutsche Ziele […] nicht ersichtlich“, heißt es im Bericht „Die Lage der IT-Sicherheit in Deutschland 2022“ des Bundesamts für Sicherheit in der Informationstechnik (BSI). Demnach gab es im Zusammenhang mit dem Krieg „nur“ kleinere Vorfälle wie den Ausfall der Fernwartung in deutschen Windkraftanlagen nach dem Angriff auf ein Unternehmen der Satellitenkommunikation. Insgesamt verzeichnete das BSI im vergangenen Jahr 452 Meldungen über Angriffe aus dem KRITIS-Bereich, 2019 waren es 252 – Tendenz also steigend. Laut BSI ist die Cyberbedrohung derzeit so hoch wie nie. Angesichts ihrer Bedeutung für die Allgemeinheit verpflichtet der Gesetzgeber Kritische Infrastrukturen zu besonderen Schutzmaßnahmen. Doch wer gehört dazu?

Das BSI definiert Kritische Infrastrukturen als „Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“ Aktuell gibt es zehn KRITIS-Sektoren, darunter Energie, Gesundheit und Wasser (siehe Grafik auf Seite 69), die sich teils noch einmal in verschiedene Branchen untergliedern.

Zentrale Rechtsgrundlage ist das BSI-Gesetz (BSIG), das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik. Die Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSIG (BSI-Kritisverordnung, BSI-KritisV) beschreibt die einzelnen Sektoren näher. Die Schwellenwerte sind darin meist so zugeschnitten, dass eine Untergrenze von 500.000 Einwohnern versorgt wird. Nur Einrichtungen oder Anlagen sind KRITIS, die diese Werte überschreiten (erhebliche Größenordnung). Die Schwellenwerte werden regelmäßig überprüft und angepasst. Zuletzt wurde der Schwellenwert für Stromerzeugung mit installierter Netto-Nennleistung (elektrisch) von 420 Megawatt (MW) auf 104 MW gesenkt. Ein Kraftwerk unter dieser Leistung ist nicht KRITIS.

„Der gesenkte Schwellenwert ist ein guter Schritt, da auch kleinere Kraftwerke für die Stromversorgung der Bevölkerung relevant sind. Wir sind hier grundsätzlich auf einem richtigen Weg, doch die Schwellenwerte reichen bei Weitem nicht aus“, sagt Kent Andersson, Geschäftsführer bei Ausecus, einem IT-Sicherheitsdienstleister für Kritische Infrastrukturen und Industrie mit Sitz in Augsburg. Besonders kritisch sieht er die Schwellenwerte für Wasser und Abwasser, die erst ab 500.000 Einwohnern gelten. Denn damit gilt nur etwa 1 Prozent der rund 5500 Wasserwerke als KRITIS-Betreiber mit entsprechend hohen Sicherheitsanforderungen.