Das Bundesamt für Sicherheit in der Informationstechnik verweist auf Cybergefahren für die Energiewirtschaft und bringt sich als zentrales Element der Sicherheitsarchitektur ins Spiel.

 

Das Bundesamt für Sicherheit in der Informationstechnik hat zahlreiche Anknüpfungspunkte zur Energiewirtschaft. Ein Referat der Behörde widmet sich sogar ausschließlich der Cyber-Sicherheit für die Digitalisierung der Energiewende und ist eine maßgebliche Instanz, wenn es um die Cybersicherheit im intelligenten Messwesen geht. Nun hat das BSI ein Positionspapier mit dem Titel „Cybersicherheit im Energiesektor Deutschlands“ vorgelegt.

Und gleich am Anfang des vierseitigen Dokuments stellen die Verfasser klar: „Die Energiesicherheit ist eine tragende Säule der nationalen Sicherheitsarchitektur.“ Die Angriffsfläche für Cyberattacken nehme zu. Gleichzeitig verschärfe sich auch die tatsächliche Bedrohungslage. Der Energiesektor stehe besonders im Fokus von staatlich unterstützen Operationen, etwa aus Russland, China, dem Iran oder Nordkorea. Diese zielten auf Destabilisierung und Spionage ab.

Außerdem seien kriminelle Gruppen aktiv, die gezielt Energieunternehmen mit Ransomware erpressen. Schließlich seien auch Hacktivisten eine Bedrohung, die ideologisch motivierte Cyberattacken gegen die Energiewirtschaft durchführen.
  Einheitliche Sicherheitsanforderungen notwendig

Insbesondere im Kontext der Energiewende mit der zunehmenden Dezentralisierung, Digitalisierung und Vernetzung von Anlagen und Stromnetzen ändere sich die Bedrohungslage. Erhöhte systemische Komplexität und Verwundbarkeit – so bringt es das BSI auf den Punkt.

Die Angriffe in den vergangenen Monaten und Jahren auf Versorger, aber auch auf deren Softwarelieferanten, haben gezeigt, dass zunehmend auch die Lieferketten der Branche ins Visier der Cyberkriminellen geraten. Gleichzeitig würden diese auch zunehmend versuchen, die Gerätehersteller, etwa von Wechselrichtern oder Smart Metern anzugreifen.

Die Folgen erfolgreicher Attacken können gravierend sein: Von Versorgungsengpässen bis hin zu totalen Stromausfällen können die Konsequenzen reichen. Von den Folgeschäden und -problemen, unter anderem für die öffentliche Sicherheit und die Versorgung mit Gütern des Grundbedarfs ganz zu schweigen.
Vor diesem Hintergrund macht das BSI Werbung in eigener Sache. Die Autoren betonen, die Experten der Behörde stünden bereit, „die zentrale Steuerungsrolle für die Cybersicherheit im Energiesektor zu übernehmen – als Vorgabengeberin und Koordinationsstelle“. Um diese Aufgabe aber auch erfüllen zu können, müssten folgende Voraussetzungen gegeben sein:

• einheitliche Anforderungen in allen Kritis-Sektoren und klare Vorgaben für alle Akteure im Energiesystem, unabhängig von der Größe des Unternehmens.
• Einheitliche, sektorspezifische Sicherheitsstandards für alle Akteure, von Netzbetreibern bis zu dezentralen Anlagen.
• erweiterte aufsichtsrechtlichen Befugnisse des BSI, inklusive Interventionskompetenzen bei Cyber-Vorfällen.
• außerhalb der Kritis-Sektoren müsse die Cybersicherheit von Anlagen durch präventive Standards, sektorspezifische Kontrollschichten sowie eine effektive Marktüberwachung sichergestellt werden.

Das BSI betont, seine Expertise und die Bereitschaft, sich an der Erarbeitung von technischen Standards zu beteiligen. Um technische Resilienz sicherzustellen, rät die Behörde zu einem dreistufigen Ansatz: zum einen die Basisabsicherung der gesamten Versorgungsinfrastruktur, zum anderen die „Härtung zentraler Komponenten“, etwa der Netzleittechnik oder der Smart-Meter-Gateway-Infrastruktur. Schließlich müsse die „hochsichere Absicherung“ exponierter Systeme erfolgen.

Dreistufiger Ansatz für technische Resilienz

Die Bereitschaft zur Kooperation und zum Informationsaustausch wiederholt die Behörde mehrfach. Die Adressaten der Botschaft sind neben den Unternehmen aus der Energiewirtschaft auch andere Behörden auf Länder und Bundesebene sowie Schulungseinrichtungen und Forschungsinstitute.

„Der Energiesektor steht im Zentrum einer sicherheitsstrategischen Zeitwende“, heißt es zum Abschluss. Ein Umdenken in Fragen der Cybersicherheit sei erforderlich und Deutschland müsse in seinen Schutz investieren. Und das BSI stehe für „eine führende Rolle bei der Absicherung des Energiesektors“ bereit.