Wenn's richtig kracht, horcht auch der durchschnittliche Österreicher hin. Die Mehrheit wird den Cyberangriff auf das Außenministerium mitbekommen haben. Ebenso dass im Oktober 2019 das A1-Festnetz teilweise ausgefallen ist, die Notrufe landesweit zeitweise nicht mehr erreichbar waren. Während letzteres technisches Problem nach rund vier Stunden beseitigt war, kämpft das Außenministerium noch immer gegen die Cyberangriffe an.

Für den Blackout-Experten Herbert Saurugg haben beide Vorfälle eines gemeinsam: "Suboptimale Kommunikation verschärft jede Krise." Denn der Laie, der am Vorabend nicht unbedingt "Stirb Langsam vier" gesehen hat, denkt freilich nicht an solche Szenarien – die Leute an den Schaltzentralen sollten es. "Wir sind gewohnt, dass immer alles funktioniert", sagt der Bundesheer-Major.

Jedes Bundesland für sich

Beim Außenministerium sei die Krisenkommunikation "ein bissl in die Hose gegangen". Mit der ersten offiziellen Mitteilung wurden unnötige Spekulationen entfacht, ob ein staatlicher Akteur dahinterstecken könnte. "Sie haben eine Info ohne Mehrwert nach außen getragen", sagt Saurugg.

Das Vorgehen am Tag des A1-Ausfalls wirkte für Saurugg hingegen wenig koordiniert. Das habe ihn jedoch nicht überrascht, sondern vielmehr bestätigt. So hatte Wien relativ schnell Ersatzhandynummern bereit, während andere Bundesländer empfahlen, die nächste Einsatzzentrale aufzusuchen. Andere wiederum nannten den internationalen Notruf unter 112 als Alternative. "Das sagt einem eh der Hausverstand", sagt Saurugg. Die Hürde sei, daran im Ernstfall zu denken.

Dabei sei der Festnetzausfall nur ein kleiner Notfall gewesen, sagt Saurugg. Nicht zu vergleichen mit einem echten Blackout, bei dem plötzlich weite Teile Europas von einem umfassenden und länger andauernden Strom- und Infrastrukturausfall betroffen wären. Umso wichtiger sei daher, dass die Informationskette im Notfall vorgegeben sei, so der Fachmann. "Wer muss mit wem reden? Wer entscheidet, wenn's schnell gehen muss?" In der Krise handle man ja in die Unsicherheit hinein.

Nicht zögern

Diese ungewisse Lage könne Staat und Unternehmen im Ernstfall dazu verlocken, die Öffentlichkeit nur zögernd zu informieren. Immerhin könnte man die Bevölkerung ja verunsichern. Für Saurugg bewirkt man damit aber das genaue Gegenteil. Sobald man merke, dass das Problem bundesweit auftrete, sollte das Bundesministerium rasch informieren. "Da kann man gar nicht zu früh reagieren", sagt der Fachmann. Weil selbst wenn alles halb so wild sei, hätte man zumindest das Szenario geübt und könnte evaluieren, wo noch nachzubessern wäre.

Unter anderem deshalb wurde Anfang Mai die Krisenübung "Helios" in Österreich durchgeführt. Damals simulierten 100 Vertreter der Bundesministerien, der Länder, der Einsatzorganisationen sowie von Infrastruktureinrichtungen eine europaweite Strommangellage, die Vorstufe zum Blackout.

Standardisierte Vorgehensweise

Für solche Notfälle gebe eine standardisierte Vorgehensweise, sagt das Innenministerium (BMI) auf Anfrage. Koordiniert werde diese im SKKM-Ausschuss (staatliches Krisen- und Katastrophenmanagement), in den bei Bedarf Einsatzorganisationen sowie ORF und APA als Leitmedien und anlassbezogen auch kritische Infrastrukturunternehmen miteinbezogen werden.

Dieser Ausschuss sei am Tag des A1-Festnetzausfalls in beobachtender Lage tätig gewesen. Weil mehrere Akteure, etwa A1 und Einsatzorganisationen, betroffen waren, half der SKKM-Ausschuss auch zu koordinieren. "Die Verantwortlichkeit zur Bewältigung des Ereignisses verblieb die gesamte Ereigniszeit beim Infrastrukturbetreiber", heißt es jedoch vom BMI abschließend.

Engpässe

Für Saurugg ist ein Blackout ein in den nächsten fünf Jahren durchaus realistisches Szenario. "Wir fahren absehbar auf den Crash zu." Das müsste nicht einmal ein teurer Cyberangriff sein. So hat etwa ein fehlerhafter Datenspeicher die Produktion beim deutschen Sportwagenbauer Porsche lahmgelegt. "Dafür braucht man keine Millionen."

Apropos Deutschland. Auch Österreichs Nachbar bereitet Saurugg Sorgen, will er doch bis 2022 aus der Atomenergie aussteigen, Kohle soll bis 2038 folgen. Es sei fraglich, ob und wie das Minus an Strom bis dahin ausgleichbar sei, so der Experte. "Studien meinen, dass sich Deutschland dann bei Nachbarländern bedienen könnte. Aber die haben bisher bei Engpässen selbst aus Deutschland importiert. Wie soll sich das ausgehen?"

IT-Sicherheit bei APG

DER STANDARD hat bei der Austrian Power Grid AG (APG) nachgefragt. Der österreichische Übertragungsnetzbetreiber ist dafür zuständig, die Stromversorgung im Land abzusichern. "Unsere IT-Abteilung ist stark wachsend", sagt APG-Kommunikationschef Christoph Schuh. Die Sicherheitsvorkehrungen seien naturgemäß hoch. Diese umfassen mehrere Bereiche. Auf Basis des Netzinformationssicherheitsgesetzes sei die APG Teil des Austrian Energy CERT, eines brancheneigenen Computer-Emergency-Response-Teams für die österreichische Energieindustrie. Das System werde laufend an die aktuellen Herausforderungen angepasst und liege gespiegelt vor: Fällt das eine aus, kann digital auf das zweite umgeschaltet werden. Externe Personen haben keinen Zutritt – auch physisch, dafür sorgen rote Zonen.

Die Gefahr eines Blackouts sieht Schuh in Österreich aber nicht. Der letzte Großstörungsfall in Österreich ereignete sich am 13. April 1976. Ein Waldbrand und eine Explosion in einem Umspannwerk in Deutschland kappten die Versorgung in weiten Teilen des Landes. Die meisten sonstigen Ausfälle basieren auf Naturkatastrophen, sagt Schuh, wie etwa zuletzt im November beim großen Unwetter in Osttirol und Kärnten.

Die APG kooperiere jedoch mit Übertragungsnetzen aus anderen Ländern. Bei unerwarteten Kapazitätsengpässen würden Reservekraftwerke einspringen. Zudem seien die Kraftwerkbetreiber nicht miteinander verbunden. Dass etwa alle gleichzeitig Opfer einer Cyberattacke werden und ausfallen, sei allein schon technisch schwierig. "Die Wahrscheinlichkeit für einen Blackout ist sehr gering", sagt Schuh.

Weiterdenken

Saurugg denkt hingegen bereits an die viel größeren Probleme nach einem Blackout: Lebensmittelengpässe. Nach Strom- und Telekommunikationsausfall sei nämlich die Versorgungskette, die dritte Phase eines Blackouts, wiederherzustellen. Der überwiegende Teil der Bevölkerung denke aber nur an die erste – wenn überhaupt.

Saurugg hofft daher, dass "Helios" oder der A1-Vorfall die Öffentlichkeit für das Thema sensibilisiert haben. Es schade nicht, ein paar Packungen Reis und Nudeln einzulagern. "Denn je länger sich die Menschen selbst versorgen können, desto weniger Druck lastet auf den Behörden beim Wiederaufbau." (Andreas Gstaltmeyr, 19.1.2019)