Tests für den Cyber-Ernstfall

Cyberangriff auf Europa: Aktivisten greifen Server von Banken und der öffentlichen Verwaltung an und infiltrieren sie mit Schadsoftware. Computer,  die E-Government-Seiten oder Online-Banking-Angebote ansteuern, werden mit der Software infiziert. Tausende PCs werden zu „Zombies“ eines fremdgesteuerten Botnetzes, das Viren verbreitet. Mit Szenarien wie diesem, das am 4. Oktober EU-weit als Computersimulation durchgespielt wurde, wird der Ernstfall geprobt.

Bei der Cyber Europe 2012 nahmen EU-weit mehr als 300 Sicherheitsexperten teil. Bei der nationalen Cyber Exercise (CE.AT 2012) in Österreich, die als Teil der internationalen Übung stattfand, beteiligten sich in Österreich neben dem Bundeskanzleramt und Ministerien, die IT-Sicherheitsexperten der CERTs (Computer Emergency Response Teams) sowie Internet-Anbieter, Finanzdienstleister und die Nationalbank. "Ziel war es zu sehen, wie das Krisenmanagement,  die internationale Kooperation, aber auch die Zusammenarbeit zwischen Behörden und Wirtschaft funktioniert", sagt Franz Vock vom Bundeskanzleramt: "Solche Übungen sollen dazu beitragen, dass Schwachstellen entdeckt und beseitigt werden können."

"Echtsituation sehr nahe"
"Das Szenario war einer Echtsituation sehr nahe", erzählt Roland Ledinger, Leiter der IKT-Strategie des Bundes. "Die Übung war dezentral aufgesetzt. Die einzelen Teilnehmer haben Meldungen von Angriffen bekommen und mussten darauf reagieren."  In der Übungssimulation beschlossen die betroffenen Ministerien ihre Services vom Netz zu nehmen. Wenig später schalteten die Banken ihre Dienste ab. Auch Bankomaten funktionierten nicht mehr. Internet-Anbieter kappten Anschlüsse von Kunden, deren Computer verseucht waren.  „Es gibt niemanden, der die Entscheidung, alles abzudrehen treffen kann“, sagt Roland Ledinger: „Jeder muss die Verantwortung in seinem Bereich übernehmen.“

"Es ist wie bei einem Feuerwehreinsatz", erzählt Christian Rupp, Sprecher der Plattform Digitales Österreich: "Es wird identifiziert wo die Brandherde sind und dann wird gelöscht." Die Frage sei, ob Unternehmen auf solche Situationen vorbereitet sind", sagt Rupp: "Haben sie einen Notfallplan? Wie können mit Schadsoftware befallene Computer vom Netz genommen werden? Wie wird die Krisenkommunikation mit den Kunden aufgesetzt?"

"Austausch funktioniert sehr gut"
Der Austausch zwischen Behörden und Unternehmen funktioniere in Österreich sehr gut, meint Ledinger. In den vergangenen Jahren seien aus den CERTs tragfähige Netzwerke entstanden: "Da findet eine sehr offene Kommunikation statt, Probleme werden mit betroffenen Unternehmen auf Augenhöhe abgeklärt. Auch innerhalb der einzelnen Sektoren sei die Vernetzung gut: "Wenn eine Bank ein Sicherheitsproblem beim Netbanking hat, verlieren auch die anderen Banken Kunden. Das betrifft die ganze Branche", sagt Ledinger. Das gemeinsame Wissen stärke alle Beteiligten: "In anderen Ländern funktioniert das schlechter, weil man sich von der Größe her nicht so gut koordinieren kann."

Bedrohungsszenarien
Die Bedrohungsszenarien sind überall gleich. Sie reichen von Hacktivismus und organisierter Cyberkriminalität bis hin zur Wirtschaftsspionage. „Momentan sind Botnetze international ein sehr großes Problem“, meint  Vock. Studien gehen davon aus, dass Firmen und Behörden einmal in der Woche attackiert werden. „Das ist nicht unrealistisch“, sagt Ledinger. Dass es mit der Datensicherheit von Unternehmen nicht immer zum Besten steht, beweisen zahlreiche Datenverluste, die in den vergangenen Jahren an die Öffentlichkeit gelangten. Datenschützer fordern deshalb auch Prüfverfahren und strengere Sanktionen. Es sei wichtig, Bewusstsein für Datensicherheit im Management von Unternehmen herzustellen, meint Ledinger.

Es gehe aber nicht nur um gesetzliche Vorgaben sondern auch um die Selbstverantwortung der Unternehmer. "Auf der einen Seite steht die Frage, ob der Wirtschaftsstandort durch überschießende Regelungen geschwächt wird. Auf der anderen Seite müssen die Daten korrekt geschützt werden. Da müssen wir einen Mittelweg finden." Übungen wie die Cyber Exercise würden letztlich auch zeigen, ob Unternehmen einen Krisenmanagementplan haben. Das Bewusstsein für Cybersicherheit sei in Österreich auch infolge zahlreicher Initiativen der Verwaltung zuletzt stark gestiegen“, meint Timo Mischitz, IT-Sicherheitsbeauftragter im Bundeskanzleramt.

Internationale Zusammenarbeit
"Ein ganz wichtiger Aspekt bei der Cybersicherheit ist die enge Vernetzung auf internationaler Ebene und das Testen wie eine internationale Zusammenarbeit im Krisenfall funktioniert", sagt Cybersicherheitsexperte Vock. Österreich ist gut vernetzt. Das Bundeskanzleramt ist etwa in der Europäische Agentur für Netz- und Informationssicherheit (ENISA) aktiv vertreten und bringt sich auch in einer die Arbeitsgruppe zum Thema Cybersicherheit in der OECD ein. Das GovCert des Bundeskanzleramts ist Teil des EGC - der European Government Cert Group, an der zwölf Staaten teilnehmen. "Die internationale Zusammenarbeit muss gefördert und proaktiv gestaltet werden", meint Vock.

Querschnittsmaterie
In Österreich ist Cybersicherheit ressortübergreifend organisiert. Für Cyberkriminalität ist das Innenministerium zuständig, Cyberdefense ist im Verteidigungsministerium angesiedelt. Das Bundeskanzleramt (BKA) sieht sich Koordinator auf der strategischen Ebene. Eine Cybesicherheitsstrategie, die derzeit auf Basis eines Ministerratsbeschlusses erarbeitet wird und im Frühjahr 2013 präsentiert werden soll, sieht auch die Etablierung von operativen Strukturen vor, die über die CERT-Strukturen hinausgehen und etwa übergeordnete Lagebilder und Analysen zur Cybersicherheit in Österreich liefern sollen.

Auch Erkenntnisse aus der Cyber Exercise im Oktober werden in die nationale Strategie einfließen. „Für uns ist es ganz wichtig, dass Cybersecurity Teil der nationalen Sicherheitsstrategie ist“, sagt Ledinger: „Wenn als Folge von Cyberangriffen die Energie- und Wasserversorgung nicht mehr funktioniert und von den Banken kein Bargeld ausgegeben werden kann, dann haben wir eine staatliche Krise."

Mehr zum Thema

• EU-Plan sieht Cybersecurity-Stabsstelle vor
• Viele Chefs vernachlässigen IT-Sicherheit
• Österreich probte die Cyber-Katastrophe
• Cybercrime: Über 5000 Anzeigen in Österreich
• KSÖ: Nationale Strategie für Cyber-Sicherheit
• Strategien gegen Bedrohungen aus dem Netz
• Österreich: CERT-Verbund für Cyber-Sicherheit
• „Cyberspace darf nicht zur Schießbude werden“