Bei der Cyber Security Konferenz IKT in Fürstenfeld führte der deutsche IT-Experte Christian Nawroth vor Augen, wie viele – technische – Bösartigkeiten im Netz aufpoppen: "Wir registrieren im Schnitt rund 270.000 neue Schadprogramm-Varianten – pro Tag", sagte Nawroth am Donnerstag. Sorge mache ihm aber nicht die Menge, sondern die zunehmende "Qualität". Auch Wahlen seien im Visier von Angriffen.

Hoch im September

Nawroth ist Referatsleiter für das IT-Sicherheitslagebild (Cyber-Sicherheitslage Europa) im Bonner BSI, der deutschen nationalen Cyber-Sicherheitsbehörde. Die genannte Zahl von Malware sei in einer "Welle" im September sogar noch höher gewesen, nämlich bei rund 392.000, beschrieb Nawroth die Dimensionen. Früher erfolgten Angriffe nach dem Schrotflintenprinzip, also breit gestreut, aber doch willkürlich.

Zunehmend würden jedoch gezielte Attacken durchgeführt. Als Beispiele nannte er die Stadtverwaltung in Baltimore, USA, oder den deutschen Krankenhausverbund. Deren Daten waren blockiert, also waren die Institutionen nicht arbeitsfähig. "Die Empfehlung des BSI: Keiner Lösegeldforderung von Cyber-Erpressern nachkommen. Man weiß ja nicht, ob man Daten tatsächlich entschlüsselt bekommt. In den USA haben sich politische Gremien für die Zahlung entschieden, das führte nur zu verstärkten Attacken", sagte Nawroth.

Demokratie in Gefahr

Ein Thema sei auch Cyber-Sicherheit bei Wahlen. Die BSI habe auch bei der Sicherung der Europawahl mitgearbeitet. "Dies ist ja ein Kernbereich der Demokratie. Es geht um die Stärkung des Vertrauen in die sichere Durchführung der Wahl und eine Erhöhung der Widerstandsfähigkeit bei technischen Manipulationsversuchen", sagte der Deutsche.

Es gibt eine Beratung für Bundes- und Landeswahlleitungen sowie ein europäisches Kompendium zur Cyber-Sicherheit bei Wahlen, inklusive einer Vorbereitung für europäische Wahlübung. Dabei gehe es nicht nur um die Wahlabläufe, sondern auch um digitalen Persönlichkeitsschutz, z. B. von Social Media-Accounts von Politikern gegen Kaperungsversuche. Bei der EU-Wahl im Mai sei es bis auf kleinere Angriffe ruhig gewesen, ebenso wie bei der österreichischen Nationalratswahl, so weit er das überblickt habe.

Kaum Vorwarnzeiten

Zur Cyberlage in Österreich sagte Oberst Walter Unger vom Abwehramt am Donnerstag, kleine Gruppen könnten enormen Schaden verursachen. "Prognosen sind leider schwierig, und leider ist auch im Vergleich kein Konfliktherd weggekommen. Und es gibt kaum Vorwarnzeiten." Man möge sich die Dimensionen vorstellen, weltweit werde es 2020 rund 50 Milliarden vernetzte Geräte geben.

Bei allen Vorteilen sei Vernetzung auch Abhängigkeit. Das Thema Cyber-Sicherheit sei ein strategisches – und auch ein neu aufgekommenes wirtschaftliches. Der Versicherer Lloyd's sehe Cyberrisiken als größte Gefahr neben operationellen Risiken von Unternehmen. Der britische Geheimdienst GCHQ ordnete zuletzt 50 Prozent aller Angriffe im UK als staatlich organisiert ein.

Unternehmen in Gefahr

Gefährdet seien laut Unger nicht nur staatliche Institutionen oder Infrastruktur: Bei den weitgehend ungeschützten Unternehmen in Österreich waren bisher rund zwei Drittel Ziel von Cyberangriffen. Die Schadenshöhe sei unbekannt. Er hoffe, dass man "in Österreich die Cyber-Sicherheit noch ausbauen wird können, es geht darum, die digitale Heimat zu schützen. Wir investieren Milliarden Euro ins Autobahnnetz, damit es zu weniger Unfällen kommt. Das gleiche könnte man sich für Datenautobahnen vorstellen", sagte der Oberst.

Man brauche sichere Clouds, sichere Datenautobahnen, starke Verschlüsselungen. Und es müsse in Bildung und Forschung investiert werden, Clouds auch mal national hosten. Der Geheimdienst-Offizier zog einen Vergleich: IT-Start-ups in der EU haben rund 30 Milliarden Euro zur Verfügung. In China seien es 60 Milliarden, in den USA 100 Milliarden Euro. "Da sind wir angehängt, obwohl wir in der EU der größte Wirtschaftsraum sind." Nach Schätzungen fehlen in Österreich etwa 35.000 IT-Fachkräfte. Man befinde sich da in einem "war for talents", sagte Unger.

Keine zweite Verteidigungslinie

"Wenn die erste Linie der Verteidigung gegen Cyberangriffe nicht funktioniert, dann gibt es meiner Meinung nach dahinter keine mehr. Dann können wir nur noch mit den Auswirkungen umgehen versuchen", sagte Herbert Saurugg, Fachmann für Cyber-Sicherheit und Kritische Infrastruktur. Es handle sich ja nicht mehr nur um Erpressung und Spionage, es gehe auch um das künstliche Herbeiführen von Ausfällen bei kritischer Infrastruktur, nach dem Motto "Ich zwinge dich in die Knie".

Doch müssten etwa Blackouts nicht einmal aus böser Absicht entstehen, sagte Saurugg. 2013 sei ein deutscher Gasnetzbetreiber ausgefallen, aufgrund eines Bedienfehlers. Die Infrastruktur sei so vernetzt, das habe beinahe dazu geführt, dass Österreich eine Zeit ohne Gas gewesen wäre: "Dabei war es gar keine Absicht, nur ein Fehler", sagte Saurugg. (APA, 1.10.2019)