Blackouts, Fake-Bürgermeister: Wenn Cyberterroristen Städte angreifen

Wir alle verlassen uns jeden Tag darauf, dass der Strom aus der Leitung und das Benzin aus der Zapfsäule fließt. Solche Services zählt man zur kritischen Infrastruktur, ohne die nichts mehr funktionieren würde. Ein Cyberangriff auf Einrichtungen, die dazu zählen, kann deshalb schwerwiegend sein. Es kann zu Versorgungsengpässen und Massenpaniken kommen. 

Anschläge dieser Art nehmen zu. Auch österreichische Städte sind davor nicht sicher – Einrichtungen wie Krankenhäuser, Windparks und IT-Dienstleister gelten als besonders sensible Schnittstellen, weshalb sie stärker als andere geschützt werden müssen. 

➤ Mehr lesen: Behörden warnen vor mehr Cyberangriffen durch KI

Wiener Anti-Terror-Bootcamp 

Legen solche Angriffe ganze Städte lahm, ist von Cyberterrorismus die Rede. In Wien gibt es am Austrian Institute of Technology ein Zentrum (AIT), das auf Abwehrstrategien zur Bekämpfung von Cyberterrorismus spezialisiert ist und das hier weltweit eine Spitzenstellung einnimmt. Deshalb reisten Sicherheitsexpert*innen aus Städten wie Barcelona, Brüssel, New York City und Singapur vor kurzem nach Wien. Auf Einladung des Büros für Terrorismusbekämpfung der UNO lernten sie am AIT, wie sie sich vor solchen Angriffen schützen können.

2 Tage lang machten die internationalen Vertreter*innen beim IT-Sicherheitsexperten Helmut Leopold eine Art Bootcamp-Training, bei dem Angriffe auf wichtige Einrichtungen dieser Gaststädte simuliert wurden. Das AIT hat dazu ein System entwickelt, über das sich solche Angriffe auf beliebige Einrichtungen nachstellen lassen. „Ein Techniker sitzt dann wie vor seinem echten Kraftwerk, das am Computer simuliert wird. Er sieht auf seinem Rechner, dass da ein Angriff ist und Daten gestohlen werden“, erklärt Leopold. 

Außerdem wird getestet, wie die Bootcamp-Teilnehmer*innen reagieren: Erkennen sie den Angriff? Welche Gegenmaßnahmen schlagen sie vor? „Im Spielszenario kann auch schon was passiert sein – etwa die Energieversorgung stillstehen. Dann müssen sie schauen, wie sie diese wieder on air bringen“, sagt er.

Hybridge: Fake-Bürgermeister könnten zu Massenprotesten aufrufen

Ein besonderer Schwerpunkt wurde beim diesjährigen Crashtest auf sogenannte hybride Bedrohungen gelegt, bei denen klassische Angriffe mit Dingen wie KI-generierten Deepfakes kombiniert werden. „Das neue Bedrohungsszenario wird in der Welt immer virulenter. Es ist besonders gefährlich, weil hier zwei Dinge vermischt werden: Einerseits macht jemand einen Angriff über das Internet“, erklärt Leopold.

„Etwa auf die Verkehrsbetriebe – plötzlich stimmen bei der ÖBB und den Wiener Linien die Anzeigen nicht mehr. Gleichzeitig könnte jemand ins Kraftwerk hineinkommen und die Energie ausschalten. Dann stehen die Straßenbahnen still“, erläutert der Experte. „Wird das dann mit einer Desinformationskampagne vermischt, können Angreifer große Unruhe produzieren“. Gleichzeitig könnten diese etwa in Sozialen Medien einen Deepfake eines Bürgermeisters verbreiten, der sagt, dass es kein Benzin mehr gibt.

➤ Mehr lesen: Warum wir Deepfakes für echt halten, egal wie schlecht sie sind

Problem ist kein rein technisches mehr

Angriffe wie diese können ganze Städte lahmlegen. „Es wird komplizierter für die Sicherheitsexperten, denn es ist nicht mehr nur ein Techniker, der draufkommen muss, was in seinem Energienetz nicht mehr funktioniert, sondern er muss plötzlich auch mit anderen Akteuren Kontakt aufnehmen“, sagt der Sicherheitsexperte. 

Solche Szenarien übten die internationalen Gäste am AIT: Sie erstellten Lageberichte und überlegten, wer ihnen wie weiterhelfen könnte – Polizei, Infrastrukturbetriebe oder Medien etwa. „Eine Gesellschaft muss in diesem Fall viel größer reagieren, weil der Angriff viel stärker ist“, erklärt Leopold.

Nukleare Zielscheiben

Das AIT hat langjährige Erfahrungen mit der Cyberangriff-Prävention. Deshalb simulieren sie u. a. auch Angriffe auf Atomkraftwerke für die Internationale Atomenergie-Organisation. Würde man einen solchen Crashtest bei einem richtigen Atomkraftwerk machen, wäre das viel zu gefährlich. 

Nicht nur Internationale Organisationen, sondern auch österreichische Gemeinden und Unternehmen machen regelmäßig Trainings beim AIT. Auch Politik und Verteidigungseinrichtungen beraten die Expert*innen. „Wir können Sicherheit nicht absolut machen. Wir fahren ja auch nicht im Panzer herum und leben im Bunker, aber es muss ein Risikomanagement gemacht werden“, sagt Leopold. In Bereichen mit höherem Risiko brauche es aufwendigere Schutzsysteme: Künstliche Intelligenz zum Monitoring oder Verschlüsselungssysteme.