Digitale Vernetzung und (Cyber-)Sicherheit – unlösbarer Widerspruch oder zwei Seiten einer Medaille? Für ein neues Zusammenspiel von Staat, Wirtschaft und Gesellschaft

Der Cyber-Informationsraum zeichnet sich dadurch aus, dass er keine nationalen Grenzen kennt, die Ebenen zwischen innerer und äußerer Sicherheit verschwimmen und die klare Abgrenzung zwischen kriminellen, politisch motivierten oder kriegerischen Handlungen kaum möglich ist.

In ihrem Jahresgutachten kritisierten die Wirtschaftsweisen zudem den schleppenden Ausbau digitaler Verwaltungsleistungen und digitaler Infrastrukturen in Deutschland. Die Schwächen in der Umsetzung der Digitalen Agenda der Bundesregierung seien Hemmnisse für die wirtschaftliche Entwicklung des Landes. Siehe Sachverständigenrat zur Begutachtung der gesamtwirtschaftlichen Entwicklung (2018, S. 394).

Der Bitkom hat herausgefunden, dass in 45 % der Unternehmen der Geschäftsführer mit für die Sicherheit verantwortlich ist. Bei der Hälfte der Unternehmen ist die IT-Abteilung auch für die IT-Sicherheit zuständig. Nur 8,6 % der befragten Industrieunternehmen verfügten über einen eigenen Sicherheitsverantwortlichen oder Chief Information Security Officer (CISO), siehe Bitkom, Spionage (2016, S. 53).

In besonderer Weise gilt dieses für den Einstieg in das „Internet der Dinge“ und IoT-Plattformen, die für Kleine und Mittelständische Unternehmen (KMU) ein erhebliches Risiko darstellen. Siehe hierzu auch: Bitkom, IoT-Plattformen (2018, S. 11).

„Im Vergleich zum Konzern zweifelt der deutsche Mittelstand mehr an der Sicherheit von Plattform-Konzepten und möchte seine Daten nicht auf einer öffentlichen Plattform speichern, da in dem Fall mehrere Unternehmen auf das zugrunde liegende Rechenzentrum zugreifen. Stattdessen sehen mittelständische Unternehmen die private Plattform, die auf dem firmeneigenen Rechenzentrum aufgebaut ist, als die sicherste Variante an. Aufgrund des höheren Instandhaltungsaufwandes ist diese Plattformart jedoch um ein Vielfaches teurer als die öffentliche. Damit eröffnet sich für den Mittelstand die Schwierigkeit der Kompromissfindung, um entweder die Sicherheitsbedenken komplett aus dem Weg zu räumen oder den digitalen Einstieg kostengünstig zu gestalten. Innerhalb dieses Spannungsfeldes können jedoch nicht beide Anforderungen gleichzeitig erfüllt werden.

Laut Bitkom war in den letzten beiden Jahren jedes zweite Unternehmen von Industriespionage, Sabotage oder Kriminalität betroffen.

In seinem Jahresbericht 2017 gibt das BSI für den Zeitraum 2016/2017 einen umfassenden Überblick über die Gefährdungslage, Angriffswege, Risiken und Schwachstellen sowie über einzelne Akteure. Siehe hierzu BSI, Lage (2017, S. 7–47).

Zum Thema IT-Sicherheit und Zertifizierung von IoT-Produkten siehe u. a. auch die Beiträge von Tobias Glemser und Marc Fliehe im Behörden Spiegel 1/2018, S. 37.

Annegret Bendiek hat die zunehmende Militarisierung des Cyberraums festgestellt. Auf diesen Aspekt soll jedoch nur am Rande eingegangen werden. Beindiek (2016, S. 22).

Mit klassischen Methoden sind u. a. der Diebstahl von Datenträgern, Kommunikationsgeräten etc. gemeint. Unter digitalen Methoden fallen u. a. die Infektion mit Schadsoftware, Phishing, Angriffe auf Passwörter, gefälschte digitale Identitäten (spoofing) etc.

Gerade die qualitativ hochwertigen Angriffe sind darauf ausgerichtet, Kontrolle über Systeme und Endgeräte zu erlangen oder über längere Zeiträume auszuspähen, ohne bemerkbaren Schaden anzurichten.

Ein Großteil der betroffenen Unternehmen identifizierte ehemalige oder aktuelle Mitarbeiter als Täter. 48 % machten Wettbewerber, Kunden, Dienstleister oder Lieferanten als Ausgangspunkt fest. Siehe hierzu auch den Beitrag „Innentäter“ von Dirk Fleischer in diesem Sammelband.

Dies bedeutet, dass bei einem Aus- oder Vorfall, zentrale Funktionen und Fähigkeiten aufrecht zu halten sind, um und möglichst schnell wieder zum Regelbetrieb zurückkehren zu können.

Sicherheitskooperationen der Landeskriminalämter und die Zentralen Ansprechstellen Cybercrime (ZAC).

Für Betreiber Kritischer Infrastrukturen, die unter das IT-Sicherheitsgesetz fallen, ist die Meldung erheblicher IT-Störungen an das BSI verpflichtend. Siehe hierzu Bundesanzeiger, IT-Sicherheitsgesetz.

Der parallele Aufbau von Fähigkeiten und Dienstposten führt mit Blick auf den Personalmangel sogar dazu, dass Sicherheitsbehörden untereinander Fachkräfte abwerben.