Die Cyberangriffe auf KRITIS-Einrichtungen stehen im Fokus der medialen Öffentlichkeit. Doch der Staat geht von einem sogenannten „All-Gefahren-Ansatz“ aus. Dazu gehören beispielsweise Naturkatastrophen wie Hochwasser oder auch terroristische Anschläge. Angesichts des Klimawandels und der zunehmenden weltpolitischen Spannungen macht dieser allgemeine Ansatz Sinn.

KRITIS-Einrichtungen werden dazu verpflichtet, Notfallszenarien durchzuspielen und geeignete Abwehrmaßnahmen vorzubereiten. Brandschutz und der Einbruchschutz sind hier typische Aktionsfelder. Die Bedeutung von Abwehrmaßnahmen gegen Cyberangriffe ist enorm gestiegen, denn die zunehmende Digitalisierung der Arbeitswelt führt zu Abhängigkeiten von Einrichtungen der kritischen Infrastruktur untereinander. Das erhöht das Ausfallrisiko. So ist beispielsweise ein Wasserversorger auch immer auf den Energieversorger angewiesen – denn er benötigt Strom, um das Wasser verteilen zu können. Wenn künftig intelligente Stromnetze, sogenannte Smart-Grids, verstärkt zum Einsatz kommen, wird die Stromversorgung noch stärker von einer funktionierenden IT-Infrastruktur abhängen. Auch für Krankenhäuser kann ein Cyberangriff schwere Auswirkungen haben: Wenn hier die gesamte Informationstechnologie ausfällt, kann der weitere Betrieb unter Umständen verhindert werden. Operationen können nicht durchgeführt werden, da wichtige Geräte über das Netzwerk betrieben werden. Personal- und Operationsplanungen stehen nicht mehr zur Verfügung. Patienten müssen in andere Kliniken verlegt werden. Rettungswagen können die betroffene Klinik nicht anfahren. Die Folgen können für den Einzelnen lebensbedrohlich sein.

Domino-Effekt befürchtet

Ein entwickeltes Land wie Deutschland ist in vielen Bereichen angreifbar. Kritische Infrastrukturen (KRITIS) finden sich in den Bereichen Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Öffentliche Verwaltung, Gesundheit, Ernährung, Trinkwasser, Abwasser, Abfallentsorgung, IT, Telekommunikation und Weltraum. Gute Beispiele dafür sind neben Krankenhäusern auch Flughäfen und Bahntrassen, Wasser- und Kraftwerke und Mobilfunknetze. Wenn sie nicht mehr funktionieren, bricht die laufende Versorgung der Bevölkerung in sich zusammen. Die Bürgerinnen und Bürger müssten sich in vielen Aspekten für einen unbestimmten Zeitraum ohne Smartphone, Strom und Wasser und ohne die Versorgung über Supermärkte zurechtfinden. Das würde das Funktionieren unserer Gesellschaft radikal in Frage stellen und die Mehrheit der Bevölkerung massiv überfordern. Nicht nur Demonstrationen, sondern auch Plünderungen und Selbstjustiz wären zu befürchten. Noch gab es in Deutschland keinen koordinierten großen Angriff auf die Kritischen Infrastrukturen, doch das ist möglicherweise gar nicht nötig, um einen großen Schaden auszulösen. Ein großflächiger Ausfall der Stromversorgung kann schnell zu Dominoeffekten führen und weitere überlebenswichtige Bereiche außer Betrieb setzen.

Erst seltsame Zeichen, dann verschwinden die Daten

Meist betreffen die Angriffe die internen Server und Datenbanken aber auch das Mobilfunknetz und den Austausch mobiler Daten via Internet. Bei den Angriffen wird arbeitsteilig vorgegangen. Es gibt Hacker, die die Sicherungssysteme von Institutionen und Betrieben überwinden, ohne einen konkreten Auftrag dafür zu haben. Diese sogenannten „Initial Access Broker“ handeln dann mit dem Zugang zu Angriffszielen. Die eigentlichen Angriffe werden schließlich von anderen Hackergruppen durchgeführt. Durch den Einsatz von KI-Instrumenten ist die Hacker-Industrie heute in der Lage, viel effizientere und häufigere Angriffe als in den Vorjahren durchzuführen. KI wird auch genutzt, um das Vertrauen der Opfer zu gewinnen. Dabei werden Identitäten, etwa eines Geschäftsführers, immer realistischer vorgetäuscht, um Mitarbeiter zu verleiten, einer fremden Person Zugriff auf das IT-System zu gewähren. Das wird meist dazu genutzt, Schadsoftware auf den Servern des Unternehmens zu platzieren. Infolge eines Hacker-Angriffs auf einen IT-Dienstleister im Oktober 2023 kam es zu Beeinträchtigungen bei 72 Kommunen, erläutert das Bundeslagebild Cybercrime 2023. So fiel unter anderem die Telefon- und E-Mail-Kommunikation aus, die Koordination von Rettungskräften wurde erschwert und es kam zu Verzögerungen bei den Fahrerlaubnisbehörden. Die Folgen eines Angriffs können die Beschäftigten mitunter live am Bildschirm mitverfolgen: „Wir fühlten uns in guten Händen, alles war wunderbar. Dachten wir. Und dann tauchten plötzlich komische Zeichen auf dem Bildschirm auf. Und danach verschwanden nach und nach unsere Daten“, beschreibt der Geschäftsführer eines ambulanten Pflegedienstes in Berlin gegenüber der ARD den Angriff auf sein Unternehmen: „Offensichtlich sind wir schon Tage oder Wochen vorher angegriffen worden. Mit einem sogenannten stillen Trojaner, der sich dann verbreitet hat und dann nach und nach die einzelnen Bereiche lahmgelegt hat.“

Deutsche Unternehmen haben Defizite bei den Schutzmaßnahmen gegen Cyberangriffe. Seit 2019 sind Mindestanforderungen im IT-Sicherheitsgesetz festgelegt, dessen Einhaltung vom BSI beaufsichtigt wird. Kritische Infrastrukturen (KRITIS) müssen demnach besonders gut geschützt werden. Mit der Umsetzung der NIS-2-Richtiline der EU kommen neue Anforderungen auf viele Unternehmen zu. Wie können sich Unternehmen darauf vorbereiten?  Dr. Timm Langwald leitet das Referat „Kritische Infrastrukturen – Grundsatz“ im Bundesamt für Sicherheit in der Informationstechnik (BSI) und kennt sich deshalb beim Thema KRITIS und der geplanten Umsetzung der NIS-2-Richtlinie in Deutschland gut aus.

Weltweit werden Einrichtungen kritischer Infrastrukturen (KRITIS) angegriffen, und zwar sowohl aus wirtschaftlichen als auch aus politischen Motiven. So hat die Hackergruppe APT44 hat im Frühjahr 2024 in zehn Regionen der Ukraine Unternehmen aus den Bereichen Energie-, Wasser- und Wärmeversorgung attackiert. Dieser Hackergruppe werden enge Verbindungen zum russischen Militärnachrichtendienst GRU nachgesagt. Auch in Deutschland nimmt die Zahl der Angriffe zu, beispielsweise auf Kliniken.

Angriffe aus Profitgier oder politischen Motiven

Die Hackergruppen haben entweder rein finanzielle Interessen oder sie werden staatlich gesteuert. Angaben des European Repository of Cyber Incidents (EuRepoC) zufolge war China zwischen den Jahren 2005 und 2023 das Land, das mit 240 Angriffen für die meisten Cyberangriffe weltweit verantwortlich war. An zweiter Stelle steht Russland mit 158 Attacken. Zu den Zielen der Angriffe aus China gehören zum einen staatliche Institutionen, zum anderen aber auch Firmen und Universitäten. Dabei geht es um Technologie- oder Wirtschaftsspionage. Aber auch Dissidenten oder Bürger aus Tibet werden ausspioniert. Seit 2022 bildet China seine Cyberarmee sogar auf einem eigenen Campus aus: Im 40 Quadratkilometer großen Nationalen Cybersecurity Center im zentralchinesischen Wuhan trainieren Pekings Hacker. Chinas Ziel ist es, den Wettlauf mit dem Westen um die technologische Vorherrschaft zu gewinnen. Die Attacken aus Russland gelten vor allem der Ukraine und den Staaten, die die Ukraine gegen den Angriff Russlands unterstützen. Durch die Cyberangriffe auf die kritische Infrastruktur in Deutschland soll ein Klima der Verunsicherung geschaffen werden, das zu einem Regierungswechsel führen soll, der russlandfreundliche Kräfte an die Macht bringt.

Der Schutz Kritischer Infrastrukturen (KRITIS) ist dem Gesetzgeber besonders wichtig. Zu den KRITIS gehören nicht nur Elektrizitäts- und Wasserwerke, sondern auch zum Beispiel Unternehmen aus der Lebensmittelbranche oder Logistikunternehmen. Denn die Versorgung mit Lebensmitteln und andere Waren in Deutschland sollte nicht durch Cyberangriffe gefährdet werden. Doch welche Unternehmen müssen die verschärften Sicherheitsanforderungen für KRITIS überhaupt erfüllen und wird dadurch das angestrebte Ziel erreicht? Christian Müller befasst sich als Technology Consultant beim Beratungshaus SHD mit solchen Fragen.

Bis zum 17. Oktober 2024 muss Deutschland die NIS-2-Richtlinie der EU in deutsches Recht umsetzen. Werden die vorliegenden Gesetzentwürfe zum KRITIS-Dachgesetz und zum NIS2-Umsetzungsgesetz verabschiedet, fallen schätzungsweise 25.000 bis 30.000 Unternehmen neu unter die Klassifizierung als Kritische Infrastruktur. Diese Unternehmen sollten sich bereits jetzt offensiv mit dem benötigten KRITIS-Schutz und den KRITIS-Berichtspflichten auseinandersetzen.

Im ersten Schritt müssen Unternehmen herausfinden, ob sie überhaupt zum Kreis der „wichtigen“ oder „besonders wichtigen“ Einrichtungen zählen.

Unternehmen, die bereits heute zum Kreis der KRITIS-Betroffenen gehören, finden die zu ihrer Branche passenden Anlagekategorien und Schwellenwerte in der „Anlage der Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz“.

In der Anlage 1 zum geplanten „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ werden die Sektoren „besonders wichtiger“ und „wichtiger“ Einrichtungen benannt.

25.150 Unternehmen in Deutschland sind neu betroffen

Durch die Umsetzung der NIS2-Richtlinie der EU in Deutschland werden nach Einschätzung von OpenKRITIS, einer unabhängigen Plattform für den Schutz Kritischer Infrastrukturen, etwa 25.150 Unternehmen neu von zusätzlichen Sicherungs- und Berichtspflichten betroffen sein. 21.600 Unternehmen fielen bislang nicht unter die aktuell geltende BSI-KRITIS-Verordnung. Laut dem Entwurf des NIS-Umsetzungsgesetzes fallen sie nun unter die sogenannten „wichtigen Einrichtungen“. Unter den „besonders wichtigen Einrichtungen“ kommen außerdem nun voraussichtlich etwa 3.550 Unternehmen neu dazu.

In der Gruppe der „wichtigen Einrichtungen“ werden durch die beiden neuen Gesetze sowohl mittlere als auch große Unternehmen zu zusätzlichen präventiven Cyberabwehrmaßahmen verpflichtet und es entstehen auch neue Nachweispflichten. Dies betrifft Unternehmen wie zum Beispiel ein kommunales Stadtwerk mit 50 Beschäftigten, einen Feinkost-Lieferanten mit 380 Beschäftigten oder auch einen Hersteller von Autositzen mit 65 Beschäftigten.

Registrieren, Risiko minimieren und über Störfälle berichten

Betreiber Kritischer Infrastrukturen im Sinne des IT-Sicherheitsgesetzes sind gemäß BSI-Gesetz (BSIG) und BSI-KRITIS-Verordnung bereits heute dazu verpflichtet,

• eine Kontaktstelle für die betriebene Kritische Infrastruktur zu benennen,
• IT-Sicherheit auf dem „Stand der Technik“ umzusetzen
• IT-Störungen oder erhebliche Beeinträchtigungen zu melden,

...und dies alle zwei Jahre gegenüber dem BSI nachzuweisen.

Ähnliche Verpflichtungen wurden in den Entwurf des NIS2-Umsetzungsgesetzes übernommen. Auch alle Unternehmen, die neu unter dieses Gesetz fallen, haben nach dem zweiten Kapitel des Gesetzes (§ 30 ff.) die Pflicht zum Risikomanagement sowie Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten. Das heißt im Einzelnen:

• Wie und wo kann man sich registrieren? Im § 33 steht, was als erstes zu tun ist: Drei Monate nach Inkrafttreten des Gesetzes muss sich ein Unternehmen bei der gemeinsamen Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren.
• Welche Risikomanagementmaßnahmen muss man umsetzen? Der § 30 listet insgesamt zehn „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ auf. Dazu gehören Aspekte wie Risikoanalyse, Zugriffskontrolle oder Kryptographie.
• Was tun bei einem „erheblichen Sicherheitsvorfall!“? Der § 32 regelt dann die Modalitäten, unter denen man erhebliche Sicherheitsvorfälle an das BSI melden muss. Im § 35 wird festgelegt, dass das BSI die Unternehmen dazu verpflichten kann, ihre Kunden unverzüglich von erheblichen Sicherheitsvorfällen zu informieren. Natürlich sind die Unternehmen dazu angehalten, akute Sicherheitslücken zu schließen, die Sicherheitsvorfälle zu analysieren und die Ursachen für die Zukunft nach Möglichkeit abzustellen.
• Die Umsetzung der NIS2-Maßnahmen muss dem BSI von Betreibern kritischer Anlagen alle drei Jahre nachgewiesen werden. Abhängig von der eigenen Registrierung muss es dann alle drei Jahre externe Prüfungen geben, analog zu bisherigen KRITIS-Nachweisprüfungen.

Links zur weiteren Information

• Das Bundesamt für Sicherheit in der Informationstechnik betreibt eine informative Seite zum heutigen Stand der KRITIS-Pflichten.
• Auf der Website des Bundesministeriums des Inneren und für Heimat kann man den Referentenentwurf zum NIS2-Umsetzungsgesetz einsehen.
• Die unabhängige Plattform „OpenKRITIS“ informiert aus ihrer Sicht über die Folgen des NIS2-Umsetzungsgesetzes.
• Diverse IT-Beratungshäuser und auf Cybersicherheit spezialisierte Unternehmen haben Basisinformationen sowie Belege für ihre Beratungskompetenz zum Thema NIS2 auf eigenen Webseiten dokumentiert.

WL (19.07.2024)