Thought Leadership
Die Anzahl und das Ausmaß von Cyberattacken nehmen jedes Jahr exponentiell zu. Das Wachstum mobiler Applikationen, sozialer Medien und weiterer digitaler Technologien dienen hierbei als Katalysator. Dieser Trend lässt sich in nahezu allen Bereichen feststellen, doch besonderes Augenmerk fällt dabei auf den Bereich der öffentlichen Sicherheit.
Die wachsende Zahl der Cyberangriffe auf Behörden und Organisationen mit Sicherheitsaufgaben ist eine gefährliche Entwicklung, mit weitreichenden Implikationen – nicht nur auf den Schutz der Privatsphäre der Bürger*innen, sondern auch hinsichtlich der Sicherheit kritischer Infrastrukturen.
Um öffentliche Sicherheitsbehörden auf Cyberangriffe vorzubereiten, ist es wichtig, die verschiedenen Typen von Angriffen und deren weitreichenden Folgen zu verstehen. Bis vor wenigen Jahren war es die größte Bedrohung, dass bei solchen Attacken durch Kriminelle persönliche Daten gestohlen werden. Diese Angriffe stellten ein Risiko für sensible Daten in Behörden dar, beispielsweise polizeiliche Akten in Dienststellen. Dies ist zwar nach wie vor ein Risiko, aber beileibe nicht mehr das einzige. Sogenannter Cyberhacktivismus zeigt eine im Aufwind befindliche Tendenz. Dabei geht es weniger um Datendiebstahl als vielmehr um das Durchsetzen einer politischen Agenda durch Cyberattacken. Die Polizei, sicherheitsrelevante Unternehmen und Betreiber kritischer Infrastrukturen sind oftmals Opfer dieser Aktionen.
Aktivitäten im Bereich Cyberterrorismus und -kriegsführung nehmen ebenfalls an Umfang zu. Ihr Einfluss geht dabei weit über die Datensicherheit und Störung lokaler oder regionaler Gebiete hinaus. Wenn zum Beispiel kritische Infrastrukturen wie Elektrizitätsversorger ins Fadenkreuz genommen werden, kann dies dazu führen, dass das entsprechende Netz abgeschaltet wird. Einrichtungen müssen auf Szenarien vorbereitet sein, in denen sie keinen Zugang zu ihren Systemen haben, aber dennoch ihre physischen Ressourcen zur Bewältigung einer solchen Cyberattacke koordinieren müssen – gleiches gilt für die Sicherstellung der alltäglichen medizinischen Versorgung. Denn schlussendlich sind die Folgen physischer Sicherheit durch digitale Bedrohungen ein oft übersehenes Feld. Mangelhaft geschulte Mitarbeiter*innen oder unbefugte Eindringlinge können ein großes Chaos innerhalb eines institutionellen Netzwerks anrichten – sei es durch Nutzung ungeprüfter externer Datenträger oder eine Vielzahl anderer Verstöße.
Wenn Behörden, Einrichtungen und Institutionen lernen, die Motivation und Ziele der böswilligen Angriffe zu verstehen und die Akteure zu identifizieren, können sie sich besser auf solche Attacken vorbereiten oder sie bestenfalls abwehren. Denn es gibt durchaus einige Schritte, die jede öffentliche Einrichtung unternehmen kann.
Eine erste und wesentliche Maßnahme ist es, klare Cybersicherheit-Richtlinien zu formulieren und die Risiken regelmäßig zu überprüfen. Kleinere Einrichtungen, denen der Start schwerfällt, können auf zahlreiche öffentliche Quellen zurückgreifen. Das deutsche Bundesamt für Sicherheit in der Informationstechnik – BSI bietet beispielsweise Best-Practice-Methoden für Cyber Security an. Insbesondere sind dort auch Sicherheitshinweise zu aktuellen Gefährdungen zu finden. Mittlerweile gibt es auch ein stetig wachsendes Angebot an Aus- und Fortbildungsmaßnahmen zu diesem Themenfeld.
Da sich die Prozesse und damit auch die Bedrohungsszenarien im Bereich der öffentlichen Sicherheit im Detail jedoch oft stark unterscheiden, ist es ratsam, sich in diesen Fragen von Fachleuten beraten zu lassen. Mit deren Hilfe können bestehende Systeme und Notfallpläne überprüft sowie daraus die richtigen und nötigen Schritte zur Cyber-Gefahrenabwehr abgeleitet werden. Da Einrichtungen der öffentlichen Sicherheit oft mit ihren Budgets zu kämpfen haben, bedarf es in diesem Bereich besonderer Sorgfalt: Viele arbeiten nach wie vor mit veralteter Software und unzeitgemäßen IT-Infrastrukturen. Die durchgreifende Umsetzung von Cyber-Sicherheitsmaßnahmen mag daher zunächst sehr herausfordernd wirken. In der Zwischenzeit wurden aber erhebliche technologische Fortschritte in diesem Bereich erzielt – Stichwort Clou“ –, so dass Kosten und Komplexität erheblich reduziert werden können.
Moderne Cloud-Lösungen sind mehr als geeignet, Anwendungen und Daten mit erhöhtem Schutzbedarf sicher zu speichern. Zudem ermöglichen Cloud-Lösungen eine einfachere behördenübergreifende Zusammenarbeit, indem der Zugriff auf Daten auf Basis der Schutzprinzipien von „Need to know“ oder sogar „Need to use“ gestattet wird. Die kooperierenden Stellen, die ihre eigenen Daten teilen, übernehmen die Kontrolle darüber, was exakt von ihren Systemen heraus den Empfängern zur Verfügung gestellt wird: zum Beispiel Einschränkungen der Zugriffsregeln sowohl auf dem Edge-Level aber auch auf der Anwendungsebene. So wird z.B. garantiert, dass die Daten gefiltert und anonymisiert sind. Der Ansatz, eine Vielzahl von Akteuren mit entsprechenden Einschränkungen zuzulassen, garantiert Sicherheit auf mehreren Ebenen und hilft außerdem allgemeine potenzielle Probleme abzuschwächen. Zudem garantiert dieser Weg gleichzeitig die Wahrung der Privatsphäre, ohne die Nutzung generell zu blockieren.
Selbstverständlich wird bei allem technologischen Fortschritt in Sachen Cybersicherheit das menschliche Element stets das schwächste Glied in der Kette bleiben. Wie bereits erwähnt sind mangelhaft geschulte Mitarbeiter*innen und unbefugte Eindringlinge eine ernstzunehmende Gefahr. Es ist daher unabdingbar, den Administrator*innen von Behördendaten eine adäquate Ausbildung zu ermöglichen. Gleiches gilt für sämtliche Bereiche, bei denen externe Informationen auf digitalem Weg in die behördlichen Daten einfließen. Jede*r Mitarbeiter*in muss lernen, wie man Cybergefahren erkennt, stoppt und im täglichen als auch nächtlichen Betrieb vornimmt. Ebenfalls braucht es Systeme der gegenseitigen Kontrolle, wie beispielsweise eine Zwei-Faktor-Autorisierung, um einzelne Schwachpunkte auszumerzen, welche in den letzten Jahren zahlreichen Einrichtungen schwer zugesetzt haben. Das Sprichwort „Vorbeugen ist besser als heilen“ trifft hier vollumfänglich zu.
Eine Kultur der Cybersicherheit zu etablieren, passiert nicht über Nacht. Führungskräfte müssen die verschiedenen Arten potenzieller Cyberrisiken verstehen und ihre Strategien sowie deren Umsetzungen laufend anpassen. Nur so lässt sich der in stetem Wandel befindlichen digitalen Welt gerecht werden. Sie müssen zusammenarbeiten und kommunizieren, um Ihre Behörden und Organisationen proaktiv und nicht reaktiv zu gestalten. Glücklicherweise können neue Technologien, externe Expertenunterstützung und Ausbildung zum Durchbruch führen, um der Öffentlichkeit das sichere Gefühl zu geben, dass Ihre digitale Sicherheit in guten Händen ist.
