Titelthema | Interview Ein dezentrales Energienetz mit vielen kleinen Einspeisern ist na- türlich schwieriger anzugreifen als wenige große Kraftwerke. Wenn allerdings alle Anlagen über die Cloud verbunden sind, reicht es, die zentrale Steuerung anzugrei- fen. Eine Lösung wäre ein Netz mit vielen dezentralen Kraftwerken, die durch Batteriespeicher als Puffer stabilisiert werden. Solche Szenarien im Energienetz sind noch nicht ausreichend erforscht, da der Fokus offenbar lieber auf Glitzer- Technologien wie künstliche Intel- ligenz und Blockchain gelegt wird, die jedoch wieder Zentralität und damit weniger Resilienz bedeuten können. Inselnetzwerke könnten eine Alternative bieten, sind jedoch kaum vorhanden und werden weder angeboten noch staatlich gefördert. Es heißt, der bisherige Schwerpunkt der klassischen ITSicherheit müsse zu einem ganzheitlichen Ansatz der CyberSicherheit weiterentwickelt werden. Was bedeutet das? Die IT-Sicherheit war lange Zeit ein rein technisches Thema, bei dem die IT-Abteilung für die Sicherheit der Systeme zuständig war. Doch diese Herangehensweise reicht heutzutage nicht mehr aus, da neue Bedrohungen wie Phishing aufkommen und IT-Systeme nicht in der Lage sind, solche Angriffe zu verhindern. Deshalb müssen nicht nur die Anwender geschult werden, sondern auch die Hersteller müssen ihre Systeme so gestalten, dass sie vor Angriffen geschützt sind. Um IT-Systeme zu schützen, sind auch organisatorische Maßnahmen wie Richtlinien und Anpassungen der Arbeitsabläufe notwendig, um Sicherheits-Know-how in alle Be- reiche zu bringen. Die Verantwor- tung für die IT-Sicherheit liegt also nicht allein bei der IT-Abteilung, sondern auch die Geschäftsführung ist gefordert, entsprechende Maß- nahmen zu ergreifen. Die Häufigkeit und Schwere von CyberAngriffen auf die ITInfra strukturen von Stadtwerken haben zugenommen. Was können kommu nale Versorger konkret tun, um ihre ITSysteme zu schützen? Die Stadtwerke müssen zunächst erkennen, dass die IT-Sicherheit alle Mitarbeiterinnen und Mit- arbeiter betrifft. Die Geschäfts- leitung muss den Willen haben, Cyber-Sicherheit umzusetzen und ganzheitlich zu betrachten. Die Mitarbeitenden müssen geschult werden, wie Sicherheitsrisiken minimiert werden können. Und es muss eine positive Fehlerkultur etabliert werden. Für wie wahrscheinlich halten Sie es, dass ein CyberAngriff zu einem Blackout in Deutschland führt? Im Interview: Manuel Atug Manuel Atug ist Gründer und Sprecher der Ar- beitsgruppe KRITIS. Beruflich ist er als IT-Sicher- heitsberater in einem Beratungshaus tätig und unterstützt Organisationen bei der Einführung von Informationssicherheits- Management-Systemen. Seine Themenschwerpunkte sind KRITIS, Cyber Resi- lience sowie Bevölkerungs- und Katastrophenschutz. Ein Blackout ist sehr unwahrschein- lich, ob durch einen Cyber-Angriff oder andere Ereignisse. Dies könnte sich in Zukunft durch eine schlechte Digitalisierung des Energiesystems ändern. Ein Beispiel ist die Fern- „Fernwartung sieht sicher- heitstechnisch düster aus.“ wartung von Energieanlagen. Ich habe mir das als KRITIS-Auditor angeschaut und muss sagen, es sieht sicherheitstechnisch düster aus. Anstatt die Fernwartung si- cher zu machen, wird den KRITIS- Betreibern vorgeschrieben, dass sie Angriffserkennungssysteme einführen müssen. Das kann man machen, wenn man eine sichere Umgebung hat und keine offenen Scheunentore wie bei der Fernwar- tung. Aber heute ist es einfacher, einen Blackout durch physische Maßnahmen herbeizuführen als durch einen Cyber-Angriff. War Russlands Krieg gegen die Uk raine hierzulande ein Weckruf für mehr CyberSicherheit? Im Moment sehe ich keinen Weckruf, außer vielleicht für die Rüstungsindustrie. Im Bereich der Cyber-Sicherheit geht es bei uns darum, wer der Täter war und wie das Lagebild aussieht. Einem KRITIS-Betreiber kann es aber völlig egal sein, wer der Täter ist. Ich kann nur sagen: Egal, ob es eine Ransomware-Bande, ein Cyber- Hooligan oder ein Geheimdienst war, ihr müsst ein Back-up haben. Also: Kümmert euch nicht um Täter oder Lagebilder, sondern schafft die Basis-Infrastruktur für sichere, resiliente IT-Systeme. Interview: Alexander Schaeff stadt + werk | 3/4 2023 17