Schutz kritischer Infrastrukturen:Cyber-Angriffe werden zunehmen

Die Anzahl der Straftaten in diesem Bereich steigt seit langem kontinuierlich an. Wir kämpfen heute gegen teils sehr professionell agierende, global vernetzte kriminelle Organisationen. Viele der Attacken basieren auf Ransomware-Angriffen – also Lösegeldforderungen. Dabei verschlüsselt oder blockiert eingeschleuste Malware die Systeme der Opfer. Die Daten werden von den Hackern erst nach dem Erhalt des Lösegelds wieder freigegeben. Bekannte Fälle sind die Angriffe auf einen Telekommunikations-Anbieter in Portugal, auf einen amerikanischen Pipeline-Betreiber und auf die irische Gesundheitsbehörden.

Ja, Phishing nimmt ebenfalls zu und die Absender werden raffinierter. Mit einer sorgfältig gemachten Phishing-E-Mail haben kriminelle Organisationen gute Aussichten auf Erfolg. Sie gelangen schnell und einfach in fremde Systeme und zu Daten. Weil Industrie- und Office-Netzwerke heute oft nicht mehr klar voneinander getrennt sind, werden Phishing-E-Mails auch für Infrastruktureinrichtungen wie Kraftwerke oder Transportanbieter gefährlich. Eine neue Erscheinung im Bereich Phishing sind gefälschte Spendenaufrufe für Opfer aus der Ukraine.

Staatlich motivierte Cyber-Angriffe gibt es bereits länger, sie sind aber seit dem Angriff auf die Ukraine sprunghaft angestiegen. Der digitale Raum wird zunehmend Bestandteil kriegerischer Auseinandersetzungen, und Anschläge auf kritische Infrastruktureinrichtungen sind Teil der hybriden Kriegsführung. Dabei verwischen sich schon mal die Grenzen zwischen rein kriminellen und in staatlichem Interesse handelnden Tätern.

Ein Grund für den Anstieg ist die beschleunigte Digitalisierung – Anbieter in den Bereichen Verkehr, Energie und Gesundheit verlassen sich zunehmend auf digitale Technologien. Außerdem entwickelt sich die Technik heutzutage sehr schnell und den Menschen fällt es schwer, sich mit diesen richtig auseinanderzusetzen und mit den Entwicklungen Schritt zu halten.

Neue Angriffsmöglichkeiten sind auch durch die Corona-Pandemie entstanden. Heute haben Mitarbeitende nicht nur über das Homeoffice, sondern von überall auf der Welt mobilen Zugang zum Unternehmensnetzwerk. Auch die sozialen Medien haben ihren Anteil an der Entwicklung: Die damit verbundene Verlagerung unserer sozialen Tätigkeit ins Internet öffnet kriminellen Akteuren neue Chancen. Weitere Angriffsflächen verdanken wir dem fortschreitenden Ausbau von 5G und den Smart-Devices in unseren Haushalten. Immer mehr untereinander vernetzte Geräte sammeln immer mehr Informationen – oft mit sehr schwachen Sicherheitsvorkehrungen. Es wäre also theoretisch vorstellbar, dass ein Energieanbieter über eine Lampe angegriffen wird.

Es gibt kaum noch digitale Produkte, die ausschließlich in einem Land hergestellt werden. Irgendeine Komponente wird praktisch immer aus einem Drittland dazu gekauft – und diese Komponente enthält wiederum Bestandteile aus einem Viertland. Hier die Übersicht zu behalten, ist fast nicht mehr möglich. Niemand weiß mehr so recht, wie und was in den einzelnen Produkten von welchem Anbieter verarbeitet wurde. Damit steigt die Verletzlichkeit einzelner Systeme und Staaten. Wir begeben uns in Abhängigkeiten, die sicherheitstechnologisch katastrophal sein können.

Cyber-Angriffe können in kurzer Zeit sehr viel Schaden anrichten. Für die Betreibenden kritischer Infrastrukturen sind sie schnell existenzbedrohend, zudem haben sie oft dramatische Auswirkungen auf die Bevölkerung. In der Welt von KI und Big Data brauchen sowohl staatliche als auch private Organisationen ihre Strategien für mehr Cyber-Security.

Malware kann sowohl in großen, als auch in kleinen Netzwerken massiven Schaden anrichten. Selbst über einen kleinen Lieferanten kann diese in eine wichtige Infrastruktureinrichtung eindringen. Angriffe über Lieferketten haben in den vergangenen Jahren an Bedeutung gewonnen. Über die Kontakte eines einzigen Zulieferers erhalten Angreifer Zugang zu Hunderten von anderen Unternehmen oder auch Regierungsstellen.

Nein, die Sicherheit eines Produkts oder eines Systems muss bereits bei der Konzeption und Produktion prioritär behandelt werden. Dafür steht der Ausdruck Security by Default – also Sicherheit ab Werk. Eine nachhaltige Verbesserung erhoffe ich mir von länderübergreifenden Standards und Normen, mit denen wir die Sicherheit objektiv überprüfen können – vergleichbar mit ISO-Zertifizierungen im Industriebereich. Anfang des Jahres trat in der Europäischen Union ein Gesetzespaket in Kraft, das Organisationen in verschiedenen Branchen dazu verpflichtet, sich gegen Cyber-Angriffe zu schützen. Dabei wird explizit auch das Management in die Pflicht genommen. Die Umsetzung dieser Regelungen in der verlangten Frist ist für Unternehmen eine große Herausforderung.

Noch vor wenigen Jahren beschäftigten sich mit dieser Frage ausschließlich IT-Spezialistinnen und Spezialisten. Heute steht das Thema immerhin auf der Traktandenliste von Verwaltungsratssitzungen. Das Bedürfnis nach Sicherheit wäre eigentlich etwas ganz Natürliches – im IT-Bereich ging es etwas verloren. Aus unserer Sicht werden Cyber-Risiken noch immer zu wenig ernst genommen. Sowohl private als auch staatliche Organisationen könnten sich wesentlich besser vorbereiten. Die Sicherheit eines IT-Systems basiert immer auf dem schwächsten Glied der Kette: ein Ingenieur, der eine Phishing-E-Mail öffnet, ein Außendienstmitarbeiter, der seinen Laptop an einen öffentlichen Hotspot anschließt oder eine CEO, die ein zu schwaches Passwort nutzt. Malware kümmert sich nicht um Hierarchien und Abteilungen. Sie greift einfach da an, wo es am einfachsten ist. Vom technischen Standpunkt her sind Cyber-Angriffe oft äußerst komplex – dabei nutzen sie in einem ersten Schritt häufig ganz einfach menschliche Schwächen.

Gemeinsam mit Ihnen denken wir die Zukunft der Versicherungsindustrie neu. Kontaktieren Sie uns für einen ersten Austausch.