IKT-Sicherheit: Klare Regeln fehlen
Im November 2011 gab das Bundeskanzleramt den Startschuss für die Erarbeitung einer nationalen IKT-Sicherheitsstrategie. In diesem Zusammenhang fand am vergangenen Dienstag auch eine Probe für den Ernstfall statt. Dabei wurde simuliert, dass wichtige Infrastrukturen wie Internet und Mobilfunk ausfallen. Trainiert wurde die Kommunikation der relevanten Akteure, etwa zwischen Privatwirtschaft und staatlichen Institutionen.
Laut Christian Kunstmann vom Kuratorium Sicheres Österreich (KSÖ) ist die Umsetzung des Planspiels sehr gelungen. Eine erste Erkenntnis sei, dass derzeit aber vieles nur "typisch österreichisch" funktioniere. "Wenn man sich kennt, geht’s schon", laut Kunstmann "kann es das aber nicht sein". Es brauche klare Regeln und Abläufe, damit im Ernstfall schnell gehandelt werden könne.
Um die Rahmenbedingungen für diese Regeln festzulegen, haben seit November fünf Arbeitsgruppen daran gearbeitet, Österreich auf den Ernstfall vorzubereiten und eine IKT-Sicherheitsstrategie zu entwickeln. Dabei ging es etwa um Risikoeinschätzung, kritische Infrastruktur, aber auch Bildung und die Schaffung von Sicherheitsbewusstsein.
Risikoeinschätzung
Um Gefahren entsprechend erkennen zu können, müssen Kernunternehmen in verschiedenen Sektoren identifiziert werden. Es müsse bestimmt werden, welche Unternehmen für die Kerninfrastruktur von Österreich essenziell sind.
Laut Thomas Stubbings, der eine der Arbeitsgruppen leitete, brauche es auch gesetzliche oder regulatorische Standards, um derartige Kerninfrastruktur zu schützen. Es gehe darum, verpflichtende Maßnahmen zu entwickeln und jene auch überprüfen zu können.
"Österreich ist keine Insel der Seligen"
Anschließend wurden auch konkrete Szenarien wie der Ausfall des Stromnetzes durchgespielt, besonders auch im Hinblick auf intelligente Stromnetze, wo zusätzlicher Sicherheitsbedarf besteht. Auch Angriffe mit Software wie Flame wurden beleuchtet und sind laut Stubbings auch in Österreich nicht undenkbar: "Österreich ist keine Insel der Seligen." Auch Anonymous wurde diskutiert: "Auch wenn die bisherigen Angriffe eher harmlos waren, müssen wir uns die Frage stellen, was als nächstes kommt. Wir dürfen uns keinesfalls in Sicherheit wiegen."
Cyber-Lagezentrum
Dazu soll unter anderem ein Cyber-Lagezentrum gebildet werden, das entsprechendende Kompetenzen hat und in Notfällen schnell reagieren kann. Details dazu konnten jedoch nicht genannt werden: "Es gibt noch keine Festlegung, wie das Lagezentrum aussieht, oder wer es macht", erklärt Roland Ledinger, Bereichsleiter IKT-Strategie des Bundes.
Vorbilder aus dem Ausland
Auch die Sicherheitsstrategien anderer Länder wurden analysiert. In der Schweiz gibt es mit der Melde- und Analysestelle Informationssicherung (MELANI) bereits ein Zentrum, das sich der Cyber-Sicherheit widmet. In Deutschland gibt es dafür das Bundesamt für Sicherheit in der Informationstechnik (BSI), das sich diesem Thema widmet. Keines dieser Konzepte soll jedoch für Österreich kopiert werden, da sich Gesetze und Rahmenbedingungen teilweise deutlich unterscheiden.
- Österreich probte die Cyber-Katastrophe