Thema der E&M-Energiemanagerkonferenz war das Spannungsfeld Asset- und Cybersicherheit. Selbstschutz und Resilienz von Energieversorgern seien lebensnotwendig, so das Fazit.

 

In Berlin trafen sich hochrangige Branchenvertreter am 25. September zur E&M-Energiemanagerkonferenz. Ein Schwerpunkt war die Unternehmenssicherheit. Vor dem Hintergrund des Brandanschlags auf das Berliner Stromnetz mit 50.000 Betroffenen in diesem Monat sagte Claudia Rathfux, Geschäftsführerin der NBB Netzgesellschaft Berlin-Brandenburg: „Absolute Sicherheit ist unmöglich.“ Erst kürzlich sei ein Tor an einem Umspannwerk ihres Unternehmens gestohlen worden.

Videoüberwachung sei eine Möglichkeit, aber nicht flächendeckend möglich. Zu den Vorsorgemaßnahmen zählte sie die Schulung der Mitarbeiter, die aufmerksam sein sollen gegen verdächtige Vorgänge um die Anlagen herum, ebenso wie gegen fragwürdige Mails. Die NNB setze zudem auf Zugangsbeschränkungen und engere Überprüfungen im Unternehmensnetzwerk.

Neu hinzugekommen sei die Absage von Besichtigungen im Unternehmen und seinen technischen Anlagen auch durch Schulklassen. „Wir müssen uns schützen, auch vor vermeintlich harmlosen Besuchen“, sagte Rathfux.

Zusammenhalt mit Partnern

„Wir kooperieren eng in Arbeitskreisen mit anderen Netzbetreibern und tauschen uns über Erfahrungen mit Krisen und Angriffen aus“, ergänzte sie. Zudem sei man im Verein Kompetenzzentrum Kritische Infrastrukturen (KKI e. V.) aktiv. Seine Mitglieder widmen sich dem Schutz dieser Infrastrukturen durch die Sensibilisierung und Vernetzung von Politik, Wissenschaft und Energiewirtschaft. 

Große Sorge machten ihr die 3.000 Angriffe im vergangenen Jahr auf die Informationstechnologie und Netzwerke des Unternehmens. „Da sind noch keine Phishingmails dabei“, sagte sie. Claudia Rathfux rechnet damit, dass die Zahl dieser Angriffe durch künstliche Intelligenz (KI) zunimmt und wirksamer wird.

An ihre Kollegen im Publikum gewandt, appellierte sie, auch sorgsam mit Informationen über das Unternehmen im Netz umzugehen. „Was einmal im Netz ist, bleibt auch dort“, sagte Rathfux. So habe die NBB gerade erst den Berliner Senat dazu gebracht, Ausschreibungsunterlagen aus der Vergangenheit aus dem Netz zu nehmen, die sensible Daten über das Gasnetz enthielten.

Cyberangriff in Schwerte

Einen Erfahrungsbericht über einen Cyberangriff trug Sebastian Kirchmann, Geschäftsführer der Stadtwerke Schwerte (NRW) bei. Sein Unternehmen habe von Strom- bis Gasnetz und Glasfaserversorgung sowie dazu gehörende Baumaßnahmen alles im Portfolio. Am 4. März erlag das gesamte IT-System einem Ransomware-Angriff. Das habe wegen der strengen Trennung der Systeme keinen Einfluss auf die Versorgung der Kunden gehabt. Aber 14 Teilunternehmen waren in der gesamten Datenverarbeitung betroffen. 

Mithilfe des ZAC NRW, Zentral- und Anlaufstelle Cybercrime des Bundeslandes, sei es gelungen, binnen sechs Wochen ohne die Zahlung von Lösegeld die Systeme wieder zum Laufen zu bekommen, berichtete Kirchmann.

Allerdings seien, wie angedroht, Daten veröffentlicht worden, weshalb neben der Krisenbewältigung viele Anfragen zu bewältigen gewesen seien. Man habe das Problem über soziale Netzwerke kommuniziert, was in der übergroßen Mehrheit sehr positiv aufgenommen worden war. 

Neues KRITIS-Gesetz ist für alle Abteilungen

Über vorbeugende Sicherheitsmaßnahmen im Bereich der Asset-Sicherung sprach Thomas Schmeding, Partner bei Becker Büttner Held (BBH). Er ging auf die neuen Anforderungen an Unternehmen ab 50 Mitarbeitern durch die Novelle des KRITIS-Dachgesetzes für kritische Infrastrukturen ein.

Nicht mehr nur das Netz, auch der Vertrieb und andere Abteilungen müssten nun Sicherheitshandbücher, Meldepfade und Abläufe für den Angriffsfall entwickeln. Zudem seien binnen 24 Stunden die zuständigen Behörden zu informieren. BBH-Partner Schmeding appellierte an die Unternehmen, frühzeitig forensische IT-Experten zu verpflichten, die kurzfristig einschreiten können.

„Nach dem Angriff ist vor dem Angriff“, deshalb müssten sich Unternehmen strategisch gegen Bedrohungen aufstellen, sagte Daniel Zittlau, Senior Manager der 3 M Management Consulting. Es sei wichtig, die einzelnen Abteilungen abzukapseln, damit kein Angriff auf einen Bereich alle anderen in Mitleidenschaft zieht. Er lobte die Anwesenden, dass sie als Chefs gekommen waren und nicht die IT-Mitarbeiter geschickt haben. „IT-Sicherheit ist Chefsache“, unterstrich Zittlau.

Der Gesetzgeber müsse auch Drohnenüberflüge und vermeintlich kleine Betriebsstörungen strenger unter Strafe stellen, forderte Mathias Böswetter, Fachgebietsleiter Cybersicherheit beim Bundesverband der Energie- und Wasserwirtschaft (BDEW).