Staat rüstet gegen Cyberattacken auf

Christine Lagarde stutzte, als sie kürzlich eine SMS auf ihrem Handy empfing. Angeblicher Absender war Angela Merkel. An sich noch kein Grund zum Argwohn, sind die Präsidentin der Europäischen Zentralbank (EZB) und die Ex-Kanzlerin doch befreundet. In der Kurznachricht fragte Merkel allerdings, ob Lagarde mit ihr über den Nachrichtendienst Whatsapp kommunizieren könnte. Die EZB-Präsidentin wurde misstrauisch und rief direkt bei der Ex-Kanzlerin an. Es stellte sich heraus: Hacker wollten Lagarde in eine Falle locken, doch der Plan schlug fehl, wie am Dienstag ein Zentralbank-Sprecher erklärte. Allerdings, und dies macht den Vorfall brisant, kam bei dem Hackversuch tatsächlich eine Telefonnummer Merkels zum Einsatz.

Der nun bekannt gewordene Cyberangriff liegt ein paar Wochen zurück: Anfang Juli informierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) alle Abgeordneten des Bundestags über vermehrte Versuche von Unbekannten, Benutzerkonten in Messengerdiensten zu kapern. Dieser Trick funktioniert nicht ohne unwissentliche Mithilfe der potenziellen Opfer. Von den Täter*innen erfolgt in einem weiteren Schritt die Aufforderung, einen Authentifizierungscode zu übermitteln. Dieser Code ist jedoch allein dazu gedacht, sich als Eigentümer*in eines Messenger-Zugangs gegenüber einem Anbieter wie Whatsapp auszuweisen. Wer das nicht weiß, tappt in eine Falle.

Solche Cyberangriffe sind vergleichsweise einfach abzuwehren, Informationskampangen können helfen. Komplizierter ist es, wenn komplexe IT-Infrastruktur das Ziel von Cyberangriffen wird. Beinahe täglich gibt es Meldungen über digitale Attacken. Ende Juni wurden die IT-Systeme des Essenslieferanten Apetito lahmgelegt, der Einrichtungen wie Kitas, Schulen und Seniorenheime versorgt. Zeitgleich traf es den Waagenhersteller Bizerba. In Hessen wurde die IT des Energieversorgers Entega angegriffen, die Täter*innen verschlüsselten Daten auf den Servern und verlangten ein Lösegeld in Millionenhöhe. Bundesweit für Schlagzeilen sorgte vor einem Jahr eine Cyberattacke auf die Verwaltung des Landkreises Anhalt-Bitterfeld, deren IT komplett lahmgelegt wurde. Vor wenigen Tagen wurde bekannt, dass die Probleme bis heute andauern. Über Monate befand sich der Landkreis im Ausnahmezustand – es war der bundesweit erste dieser Art aufgrund eines Cyberangriffs. Gründe zum politischen Handeln gibt es genug, allein dem Landkreis Anhalt-Bitterfeld entstanden Kosten von rund zwei Millionen Euro. Erschwerend kommt neben oft veralteter IT-Infrastruktur in Verwaltung und Behörden noch hinzu, dass die Abwehr von digitalen Attacken in vielen Fällen Ländersache ist. Entstanden ist über die Jahrzehnte ein kaum durchschaubarer Wust an Zuständigkeiten von über 100 Stellen auf Landes-, Bundes- und internationaler Ebene.

Bundesinnenministerin Nancy Faeser (SPD) will hier nun Abhilfe schaffen, wie sie am Dienstag in Berlin bei der Vorstellung ihrer Cybersicherheitsagenda ankündigte. Künftig soll das ihrem Haus unterstellte BSI die zentrale Anlaufstelle im Kampf gegen Cyberattacken werden. Notwendig dafür ist eine Grundgesetzänderung. Die Innenministerin geht davon aus, in den Ländern auf große Bereitschaft zu stoßen, weil IT-Sicherheit nicht nur komplex, sondern auch teuer ist. Betreiber kritischer Infrastruktur, darunter etwa Energieversorger, Wasserwerke oder medizinische Einrichtungen, sollen zudem enger an das BSI angebunden werden. So soll eine Plattform entstehen, auf der sich attackierte Unternehmen gegenseitig warnen können, ebenfalls sollen für jeden Bereich Teams aus IT-Spezialist*innen geschaffen werden, die bei Cyberattacken die Betroffenen unterstützen. Beinahe kurios wirkt der Hinweis, wonach Faeser die Einführung eines zentralen Videokonferenzsystems für die Bundesverwaltung ankündigt. Kein Witz: Will Bundeskanzler Olaf Scholz (SPD) auf einer gesicherten Leitung etwa mit Nato-Verbündeten sprechen, muss er dafür bisher ins Verteidigungsministerium fahren.

Für Diskussionen sorgen dürfte die Frage, ob und in welchem Umfang der Staat künftig nicht nur Cyberangriffe abwehren, sondern auch zurückschlagen darf. Faeser bleibt hier nebulös, erklärt, die Behörden müssten in der Lage sein, bei einem Angriff notfalls jene Server lahmzulegen, von denen eine Attacke ausgeht. Genau das sei aber ein Fall eines sogenannten Hackbacks, den die Ampel-Regierung laut Koalitionsvertrag eigentlich nicht einführen wolle, warnt Anke Domscheit-Berg, digitalpolitische Sprecherin der Linksfraktion im Bundestag. »Eine gute IT-Sicherheitspolitik setzt zu 100 Prozent auf Verteidigung, niemals auf Angriff mittels offener Sicherheitslücken«, mahnt die IT-Expertin. Domscheit-Berg fordert, Behörden müsste stattdessen die Ausnutzung von IT-Sicherheitslücken verboten werden. Abschließend bewerten lässt sich dieses Vorhaben noch nicht, einen Gesetzentwurf gibt es nämlich noch nicht.

Werde Mitglied der nd.Genossenschaft!

Seit dem 1. Januar 2022 wird das »nd« als unabhängige linke Zeitung herausgeben, welche der Belegschaft und den Leser*innen gehört. Sei dabei und unterstütze als Genossenschaftsmitglied Medienvielfalt und sichtbare linke Positionen. Jetzt die Beitrittserklärung ausfüllen.
Mehr Infos auf www.dasnd.de/genossenschaft