Cyber-Sicherheit: Deutschland ist hochgradig anfällig für Hackerangriffe

Seit einem Jahr versucht die Bundeswehr Hacker-Angriffe zentraler abzuwehren. Erste Erfolge sind sichtbar, doch der deutsche Staat liegt in der IT-Sicherheit weit zurück, Zuständigkeiten sind zersplittert aufgeteilt. Das hat fatalen Folgen für die Sicherheit der Bürger.

Hans-Wilhelm Dünn stellt der Sicherheit des öffentlichen Netzes in Deutschland kein gutes Zeugnis aus: "Deutschland hinkt im Bereich Cyber-Sicherheit noch hinterher, sowohl in den öffentlichen Einrichtungen wie beispielsweise den Stadtwerken, als auch bei Ministerien oder in der Verwaltung."

Dünn weiß, wovon er spricht: Er ist Präsident des Cyber-Sicherheitsrats, ein Verein, bei dem unter anderem das Bundes-Gesundheitsministerium, die Commerzbank und Bosch Mitglied sind und die verschiedene Institutionen in der IT-Sicherheit beraten. Dünn ist ernsthaft besorgt über die Anfälligkeit deutscher Netze: "Die Gefahr ist riesig, dass Hacker auf staatliche Behörden Anschläge verüben. Wann der nächste kommt, ist nur eine Frage der Zeit." Um sich in das Intranet von kommunalen Stadtwerken zu hacken, brauche ein mittelmäßig begabter Hacker nur drei bis vier Stunden, schätzt Dünn. Und dann könne er beispielsweise die Stromversorgung für zehntausende Menschen abschalten.

Was Dünn sagt, wird t-online.de von mehreren Insidern aus den Behörden bestätigt: Deutschland ist hochgradig anfällig für Hackerangriffe. Allein die Unternehmen in der Bundesrepublik haben einen jährlichen Schaden von 55 Milliarden Euro durch Cyberattacken – so eine Studie des Digitalverbands Bitkom, die Zahl wächst seit Jahren. Zum Vergleich: Der Schaden durch Computerbetrug liegt laut einen BKA-Bericht zur Online-Kriminalität bei 71,4 Millionen Euro.

Besonders trifft diese Nachlässigkeit auf die öffentliche Verwaltung und die Bundesbehörden im Land zu. Der Lauschangriff der NSA auf das Handy der Kanzlerin sorgte vor fünf Jahren für Aufsehen. Selbst angeblich stark geschützte Netzwerke wie das Regierungsnetzwerk "Informationsverbund Berlin-Bonn" wurden Anfang 2018 Opfer eines Cyberangriffs: Geheimste Regierungsinformationen wurden damals wohl für russische Hacker einsehbar.

Statt mehr Sicherheit mehr Zuständigkeiten

Dabei sollte Deutschland seit der im Jahr 2016 vorgestellten "Cyber-Sicherheitsstrategie" eigentlich deutlich sicherer vor Eindringlingen in die Netze werden. Tatsächlich gibt es seitdem jedoch vor allem verschiedene Zuständigkeiten: Je nach Angriff auf die öffentlichen Netze liegt die Zuständigkeit mal beim Innen-, mal beim Außenministerium, dem "Bundesamt für Sicherheit in der Informationstechnik", oder der Bundeswehr. Eine zentrale Stelle, die gebündelt gegen Angreifer auf öffentliche Netze vorgeht, gibt es nicht.

Die Folgen für den Bürger sind enorm: Es sind nicht nur die kommunale Verwaltung und die mögliche Stromversorgung, die beeinträchtigt werden können. Geheimste Staats-Informationen gelangen über Hacker nach Außen, in politisch brisanten Zeiten eine gefährliche Konstellation.

Zwei Millionen Angriffe in 2017

Um zumindest die Attacken auf die deutsche Armee besser abzuwehren, wurde vor einem Jahr das "Zentrum für Cybersicherheit" der Bundeswehr gegründet. Über 500 Menschen arbeiten dort, sie sollen die zwei Millionen Angriffe (Zahl von 2017), die pro Jahr auf die Netze der Bundeswehr einprasseln, in Schach halten. Um ihre Kompetenzen dort noch weiter auszubauen, arbeitet die Bundeswehr jetzt mit der deutschen Telekom zusammen: Soldaten und Telekom-Mitarbeiter sollen gegenseitig hospitieren und auch über einen Austausch von Studenten werde nachgedacht.

Wie genau die Bundeswehr bei Hacker-Angriffen vorgeht, möchte sie t-online.de lieber nicht erläutern.

Oberstleutnant Guido Schulte, einer der Chefs im „Kommando Cyber- und Informationsraum“, das eng mit dem Zentrum für Cybersicherheit zusammenarbeitet, lässt sich dazu im schönsten Behörden-Deutsch zitieren: "IT-Sicherheitsvorfälle gehen zentral beim sogenannten Lageüberwachungszentrum im Zentrum für Cybersicherheit ein und werden geprüft. Anschließend werden gemeinsam gegebenenfalls notwendige Gegenmaßnahmen abgestimmt und angewiesen. Darüber hinaus stehen wir im fachlichen Dialog mit anderen Unternehmen und Behörden. Dabei tauschen die Experten Erfahrungen/Fachwissen gegenseitig aus."

Einer, der die Bundeswehr in IT-Fragen berät, aber aus Angst um seinen Job seinen Namen nicht öffentlich lesen will, wird da konkreter: "Viele bei der Bundeswehr kochen in der Informationstechnik ihr eigenes Süppchen, würde eine Firma so agieren, wäre sie schon längst von Hackern auseinander genommen worden." Dass bei der Bundeswehr bislang noch kein größerer Schaden eingetreten sei, wäre "blanker Zufall".

Zwei Ressorts arbeiten zusammen – das ist neu

Tatsächlich zeigt das Beispiel Bundeswehr, wie zersplittert die öffentlichen Zuständigkeiten sind, was wiederum den Hackern in die Hände spielt. Ein Sprecher des Verteidigungsministeriums erklärt das so: "Ob das ein staatlicher Angriff ist oder ein privater ist für uns nachrangig. Wir sind für den Schutz unserer Systeme zuständig. Eine Zuordnung von Angriffen ist daher für uns prinzipiell irrelevant. Dieses obliegt dem Bundesamt für Sicherheit in der Informationstechnik und dem Verfassungsschutz." Zu lange wurden zudem Innovationen verschlafen, die Bundeswehr verkauft es als Erfolg, dass sie nun mit einer Ende August gegründeten neuen "Agentur für Innovation in der Cybersicherheit" sich auch um "Zukunftstechnologien" kümmern wird. Der Verteidigungsministeriums-Sprecher: "Das ist eine bemerkenswerte Sache, zwei Ressorts, nämlich das Innen- und Verteidigungsministerium, die im Cyberraum-Verantwortung haben, arbeiten jetzt zusammen, das ist neu."

Dass nun zwei große deutsche Ministerien erstmals wirklich zusammenarbeiten bei der Cyber-Sicherheit, darüber kann Kevin Bocek nur staunen. Bocek ist Führungskraft bei Venafi, einem der größten US-Cybersicherheits-Unternehmen, er sitzt am Flughafen in London und seine Fassungslosigkeit über die deutsche Zersplitterung ist auch durchs Telefon hörbar: "Eine Zersplitterung der Zuständigkeiten von verschiedenen Bundesbehörden, die alle Cyberangriffe abwehren sollen, kann die Wirtschaft nicht verteidigen. Es wäre eigentlich Wahnsinn, das anzunehmen: Jeder Firma raten wir, ihre Cyberabwehr möglichst zentral zu bündeln." Das müsse auch für Staaten gelten. Aus seiner Sicht sind die "öffentlichen Einrichtungen in Deutschland nicht ausreichend vor Cyberangriffen geschützt".

Das Unternehmen von Bocek hat gerade eine Studie durchgeführt, in der 515 IT-Fachleute befragt wurden: 86 Prozent der Experten waren der Meinung, dass sich die Welt derzeit mitten in einem Cyberkrieg befinde. Dabei geht es um Bots, Fehlinformationskampagnen und die Manipulation von Wahlautomaten: "Im Wesentlichen geht es in diesem Krieg darum, Informationen zu kompromittieren und zu kontrollieren. Sobald Sie das vollständig verstanden haben, ist es ziemlich einfach zu sehen, dass wir uns gerade in einem Cyberkrieg befinden", teilt das Unternehmen dazu mit.

• Lojax: Extrem gefährlicher Computervirus entdeckt
• Deutschland: Beliebtes Ziel bei Hacken und Betrügern

Staatlich gefördertes Hacking nimmt zu

Dabei geht es nicht allein um private Hacker, auch staatlich gefördertes Hacking nimmt zu. Verschiedene Angriffe kommen, so wird es in den Sicherheitsbehörden vermerkt, immer häufiger von Gruppen, die den Geheimdiensten aus Russland und China zuarbeiten. In Deutschland ist dagegen nicht mal das "Zurückhacken" gesetzlich erlaubt, also selbst einen "digitalen Gegenschlag" bei Angriffen auszuführen. Denn eine Gefahrenabwehr ist Ländersache, ein weiterer Aspekt, der zur Zersplitterung der Zuständigkeiten führt.

Dies will die Regierung jetzt mit einer Grundgesetz-Änderung beheben, wie die Nachrichtenagentur "Reuters" berichtet. Dann könnten Sicherheitsbehörden zumindest selbst aktiv werden – ein erster Schritt, um sich erfolgreicher gegen Hacking wehren zu können.

Hinweis: In einer älteren Version des Artikel war von "knapp 600 Mitarbeitern" im Zentrum für Cyber-Sicherheit die Rede. Laut Bundeswehr sind es nur "über 500 Menschen". Wir bitten, den Fehler zu entschuldigen.