Sie sind sehr real und haben in den letzten Jahren auch deutlich zugenommen. Das erkennt man zum einen daran, dass es immer wieder Medienberichte von größeren Hackerangriffen gibt. Weitere Indikatoren sind sehr konkrete und nicht öffentliche Warnungen, die die Sicherheitsbehörden den Betreibern aussprechen. Das passiert nicht ohne triftigen Grund.

Eine gezielte Cyberattacke könnte so aussehen: Ein Angreifer versucht, in die Versorgungssteuerung einzugreifen und unautorisierte Schalthandlungen auszulösen. Ist er erfolgreich, fällt im schlimmsten Fall die Versorgung komplett aus. Zukünftig könnten auch die beim Endverbraucher verbaute Technik und seine persönlichen Daten angegriffen werden, da über intelligente Stromzähler oder E-Autos vermehrt Schnittstellen entstehen. Dort ist eher der klassische „selbstständige“ Hacker anzutreffen.
Die größte Bedrohung geht aktuell von staatlichen oder halbstaatlichen Akteuren aus. Sie haben die Ressourcen für komplexe Angriffe. Denkbar wären auch Erpressungen durch organisierte Cyberkriminalität. Terroristische Attacken auf unsere Stromnetze halte ich aber noch für relativ unwahrscheinlich.

Jede Maßnahme zur Digitalisierung und breiten Vernetzung braucht entsprechende Sicherheitsmaßnahmen. Es käme auch niemand auf die Idee, ein Auto ohne Bremsen auf den Markt zu bringen. Für die Betreiber bedeutet das, Hard- und Software zusammen zu denken und beispielsweise geregelten Zugriffsschutz einzuführen sowie eine Netzwerkzonierung. Das heißt, das Netzwerk in Bereiche aufzuteilen, deren Schnittstellen jeweils gesichert sind. Aufseiten der Betreiber ist der Aufbau einer Sicherheitsorganisation mit gewissenhaftem Update-Management unabdingbar, und Komponentenhersteller müssen eine sichere und robuste Implementierung gewährleisten. Nicht zuletzt sind umfassende Mitarbeiterschulungen sehr wichtig. Aber Vorbeugung alleine reicht nicht. Für Sicherheitsprobleme wie Angriffe oder Infrastrukturstörungen muss es Notfallpläne geben, die zügig greifen und den Normalbetrieb wieder herstellen.

Auch im Bereich der Informationssicherheit steht immer der Kostenfaktor im Raum. Und der fällt für Betreiber kritischer Infrastrukturen schon von Gesetz wegen höher aus als für kleine Stadtwerke. In jedem Fall müssen Sicherheitsmaßnahmen und Anwendungsfälle gemeinsam betrachtet werden, wenn es um die Wirtschaftlichkeit geht. Ist etwa der Komfort- und Effizienzgewinn eines App-Zugriffs auf eine Stationsleittechnik via Smartphone die dann notwendigen umfassenden Sicherheitsmaßnahmen wert? Das entscheidet sich von Fall zu Fall.

Wo Informationssicherheit früher noch ein Spezialproblem war, durchdringt es heute die gesamte technisierte Gesellschaft, vor allem die Energieversorgung. Hersteller und Betreiber müssen und werden standardisierte Lösungskonzepte entwickeln und umsetzen. Da sich sowohl die Anwendungsszenarien der IT- und Steuerungstechnik als auch die Methoden der Angreifer immer weiterentwickeln, werden wir nicht aufhören, über Cybersicherheit zu sprechen.