Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hält die aktuelle Bedrohungslage im Cyberraum für besorgniserregend, auch weil die Grenzen zwischen Geheimdienstoperationen und Angriffen krimineller Hacker immer mehr verschwimmen.

"Wir haben eine besorgniserregende Bedrohungslage. Das sehen wir ganz klar", sagte BSI-Präsidentin Claudia Plattner am Dienstag beim 20. IT-Sicherheitskongresses in Bonn. Zu den Staaten, die hier ganz besonders aktiv seien, zählten Russland, China, Nordkorea oder Iran. "Es gibt einige Länder, die uns da durchaus Kopfschmerzen machen", räumte sie ein.

Wenn es um Cyberkriminalität gehe, die sich gegen kritische Infrastruktur richte, sei Russland ganz vorn mit dabei. Zur sogenannten kritischen Infrastruktur zählen wichtige Einrichtungen wie etwa Krankenhäuser, Gas-Pipelines oder die Bahn. "Und dort sehen wir durchaus auch eine sehr unheilige Allianz zwischen im Prinzip profitorientierter organisierter Bandenkriminalität für den Cyberbereich im Zusammenhang eben halt auch mit staatlicher Unterstützung oder mindestens Duldung", sagte Plattner. Das vermische sich zunehmend.

Deshalb werde es auch immer schwieriger, die Frage zu beantworten, ob es bei derartigen Aktionen vorrangig darum gehe, politisch Einfluss zu nehmen und zu einer Destabilisierung beizutragen oder darum, Lösegeld zu erpressen. Schwierig sei die Beantwortung dieser Frage vor allem, wenn Institutionen des öffentlichen Lebens wie Krankenhäuser, Universitäten oder Kommunen von Cyberattacken betroffen seien. Das BSI arbeite an dieser Stelle eng mit anderen Behörden zusammen. Man habe diese Dinge "sehr klar auf dem Schirm", könne sich aber auch dagegen schützen, betonte Plattner. "Es gibt technische Maßnahmen, die müssen wir alle miteinander konsequent umsetzen. Und es ist allerhöchste Eisenbahn."

Automatisierung soll helfen

Letztendlich lässt sich die verschärfte Bedrohungslage im Cyberraum nach Einschätzung des BSI nur mit mehr Zusammenarbeit und Automatisierung bewältigen. Kooperation zwischen Politik, Gesellschaft und Wirtschaft sei "die einzige Möglichkeit, wie wir das hinbekommen", sagte Plattner bei der Eröffnung des IT-Sicherheitskongresses. Absichtserklärungen reichten hier nicht aus, sondern "Zusammenarbeit muss geübt werden", fügte sie hinzu.

Kommunen sowie kleinere und mittlere Unternehmen zögerten wegen des hohen Aufwands oft, durch ein konsequentes IT-Schwachstellenmanagement für Cybersicherheit zu sorgen, stellte die Behördenleiterin fest. Automatisierte Prozesse, die für mehrere Organisationen und Unternehmen anwendbar sind, könnten ihrer Ansicht nach eine Lösung sein. Denn, "die Frage ist nicht, ob Unternehmen und Behörden Opfer von Cyberangriffen werden, sondern wann", mahnte Plattner.

Für kleine und mittlere Unternehmen ist laut BSI nach wie vor die Erpressung durch sogenannte Ransomware die größte Bedrohung. Dabei verschlüsseln Hacker Nutzerdaten und fordern Lösegeld, um Daten wieder freizugeben. Plattner verwies zudem auf die jüngsten Vorfälle von Cyberspionage. Auch Sabotage durch Hackerangriffe sei ein reales Szenario, warnte sie.

Das BSI nutzt die zweitägige Veranstaltung, bei der die Teilnehmer online zugeschaltet sind, auch, um Fachkräfte anzuwerben. Das Bundesamt habe aktuell rund 1500 Mitarbeiter, sagte Plattner. 200 IT-Fachleute fehlten dem BSI, "die suchen wir".

Innenministerium veröffentlicht Entwurf zu neuen IT-Sicherheitsregeln

Bundesinnenministerin Nancy Faeser (SPD) legte am Dienstag einen Gesetzentwurf vor, mit dem das deutsche IT-Sicherheitsrecht modernisiert und neu strukturiert werden soll. Der Entwurf zur Umsetzung der EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2) wurde gleichzeitig an Länder und Verbände zur Stellungnahme versandt. "Mit unserem Gesetz werden künftig mehr Unternehmen in mehr Sektoren Mindestvorgaben für die Cybersicherheit und Meldepflichten bei Cybervorfällen erfüllen müssen. Wir steigern das Sicherheitsniveau ? und senken damit das Risiko für Unternehmen, Opfer von Cyberangriffen zu werden", sagte Faeser.

Außerdem soll für Cybersicherheitsvorfälle, die dem BSI gemeldet werden müssen, künftig ein dreistufiges Meldesystem eingeführt werden. Vorgesehen sind eine Erstmeldung binnen 24 Stunden, ein Update innerhalb von 72 Stunden und ein Abschlussbericht, der binnen eines Monats übermittelt werden muss. Der administrative Aufwand für die betroffenen Einrichtungen solle "im Rahmen des bestehenden mitgliedstaatlichen Umsetzungsspielraums minimiert werden".