Hybride Risiken für KRITIS und Unternehmen: Warum integrierte Sicherheit zum Erfolgsfaktor wird

Herr Dirk H. Bürhaus, Herr Fritz Rudolf Körper, der jüngste Drohnenvorfall an einem deutschen Großflughafen hat die Bedrohungslage durch hybride Risiken auf eine neue Stufe gehoben, so das Urteil vieler Experten. Was resultiert hieraus?  

Dirk H. Bürhaus: Das Ereignis hat nachdrücklich unterstrichen, dass die Bedrohung durch Drohnen in den letzten Jahren rasant zugenommen hat. Unabhängig von diesem konkreten Fall gilt daher seit Langem: Drohnendetektion und -abwehr müssen für jedes Unternehmen und jeden KRITIS-Betreiber weit oben auf der Agenda stehen – unter Einbeziehung spezialisierter Dienstleister.  

Fritz Rudolf Körper: Gleichzeitig ist die Politik gefordert. Denn wir brauchen straffe behördliche Strukturen statt des Flickenteppichs an administrativen Zuständigkeiten ebenso wie einen wirklich umfassenden Rechtsrahmen für die Drohnenabwehr. Er sollte neben staatlichen Institutionen, KRITIS-Betreibern und Unternehmen auch die Sicherheitswirtschaft einbeziehen sowie diesen Akteuren effektive und rechtssichere Handlungsmöglichkeiten verschaffen. Dazu gehört auch eine Ausweitung der privat­rechtlichen Hausrechtsausübung im Luftraum, durch die sich Betroffene gesetzeskonform gegen unautorisierte Drohnenüberflüge zur Wehr setzen können.

Das ist aber bei weitem nicht alles an hybriden Risiken: Insolvenzen infolge von Cyberattacken, Produktionsstillstände nach Brandanschlägen und Sabotageakte auf die Verkehrsinfrastruktur. Wie groß sind die Bedrohungen insgesamt?

Dirk H. Bürhaus: Riesig – und die Gefahren nehmen stetig weiter zu. Das zeigen folgende Zahlen: Gemäß Bitkom-Studie sind knapp neun von zehn Unternehmen in Deutschland durch analoge und digitale Spionage sowie Sabotage betroffen. Das jährliche Schadensvolumen hat sich in zehn Jahren mehr als verfünffacht auf mittlerweile 289 Milliarden Euro – mehr als das Doppelte des NRW-Landeshaushaltes. Besonders prägnant zudem: Rund 70 % hiervon, also allein schon knapp über 200 Milliarden Euro, entfallen auf KI-forcierte Cybercrime, das Wirtschaftsrisiko Nummer 1. 

Die Politik hat hierauf mit KRITIS-Dachgesetz und NIS2-Richtlinie reagiert...

Fritz Rudolf Körper: Beide Gesetze senden das eindeutige Signal an Wirtschaft und KRITIS-Betreiber, dass Sicherheit oberste Priorität haben muss. Physischer Schutz und Cybersecurity sind jetzt Unternehmens-Kernpflicht. Allein etwa rund 2.000 Betreiber kritischer Infrastrukturen in Deutschland fallen unter das KRITIS-Dachgesetz. Der Wirkungskreis der NIS2-Richtlinie ist noch weitgehender: Sie betrifft hierzulande knapp 30.000 Unternehmen aus 18 Branchen und Sektoren.

Dirk H. Bürhaus: Mit dem KRITIS-Dachgesetz werden beide Sektoren erstmals eng miteinander verknüpft. Dieser Allgefahrenansatz hat größte Relevanz, da Sicherheit immer integrativ zu betrachten ist. Unternehmen müssen das Silodenken überwinden, bei dem eine Abteilung den physischen Schutz steuert und eine andere die Cyberabwehr übernimmt.

Was sind aus Ihrer Sicht die inhaltlichen Kernelemente?

Fritz Rudolf Körper: Erstens: Alle betroffenen Akteure unterliegen einer Registrierungspflicht – gemäß KRITIS-Dachgesetz beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, BBK, und entsprechend NIS2 beim Bundesamt für Sicherheit in der Informationstechnik, BSI. Zweitens: Sie müssen über ein funktionierendes Business-Continuity-Management verfügen – also nachhaltige Strukturen zur Aufrechterhaltung des Betriebes in der Folge eines Notfalls implementieren. Und das inklusive aktivem Krisenmanagement. Drittens: Aus dieser Architektur resultieren konkrete Anforderungen an physischen und IT-Schutz, aber auch Vorschriften zu Meldepflichten, Dokumentationen oder Audits.

Dirk H. Bürhaus: NIS2 richtet den Fokus zum Beispiel auf die häufig vernachlässigte Kontrolle von Beschaffungsprozessen. Sie ist gerade bei IT-Komponenten von elementarer Relevanz, da diese meist aus dem Ausland kommen und damit Einfallstor für Spionage sind. Weiteres Beispiel: NIS2 verpflichtet Firmen zu Kryptografie, also Verschlüsselung, als Bestandteil des Risikomanagements.

Was müssen Resilienzanalysen sowie daraus folgende BCM-Bausteine zum Beispiel umfassen?

Dirk H. Bürhaus: Bevor Sicherheitsmaßnahmen greifen, braucht es ein präzises Bild der Ausgangslage. Basis ist daher immer eine Asset-basierte Risikoanalyse. Sie zeigt auf, welche Prozesse und Ressourcen – von Gebäudekomponenten bis zu IT-Systemen – verwundbar sind und wie sie abgesichert werden können. Daraus leiten wir passgenaue Schutzkonzepte ab. Diese reichen von Sicherheitsdiensten und -technik wie etwa Streifengängen und Zutrittskontrollsystemen über Social-Media-Monitoring und Cyber-Defense bis zu Awareness-Schulungen, Notfallübungen und Penetrations-Tests. Im Krisenfall können wir zudem die operative, revisionssichere Lageführung übernehmen, inklusive Notfallkommunikation.

Fritz Rudolf Körper: All dies ist notwendig, weil der Nachholbedarf in Sachen Sicherheit gerade im Mittelstand riesig ist. Beispiele: Auf vielen Arealen weisen IP-Kameras solche Sicherheitslücken auf, dass Kriminelle sie hacken können, die Steuerung übernehmen oder sich im Zweifel weiteren Zugang zum Netzwerk verschaffen. Ähnlich sieht es bei digital gesteuerten Aufzügen aus. Gleichzeitig haben Brandanschläge auf Strommasten und Kabelbrücken nachhaltig verdeutlicht, wie physisch verwundbar unsere Infrastrukturen sind und welche weitgehenden Folgen daraus resultieren. 

Welche physischen Schutzbausteine folgen daraus explizit – etwa für die Sicherheit von Umspannwerken oder Produktionen?

Dirk H. Bürhaus: Priorität hat die gezielte bauliche Sicherung durch Mauern, Zäune etc. mit geeigneter Sicherheitstechnik inklusive Leitstellen-Aufschaltung. Ziel: Tätern den Zugang zu erschweren und damit einen Sabotageakt zu behindern. Gleichzeitig gewinnen Verantwortliche so nach der Täter-Detektion wertvolle Zeit für Intervention und Notfallmaßnahmen. Dies reduziert Schadensrisiken genauso wie „Security by Design“, also Sicherheitsmaßnahmen bereits bei Standortplanungen. Diese Komponenten wirken nicht allein gegen physische Angriffe, sondern auch gegen Cybercrime und damit ganz im BCM-Sinn. 

Spannender Brückenschlag. Worin liegt der hohe Stellenwert physischer Komponenten gegen Cyberangriffe, etwa bei einer Klinik?

Fritz Rudolf Körper: Cybercrime erfolgt nicht allein aus dem Web heraus. Vielen Attacken gehen physische Delikte voraus: etwa, indem Kriminelle unzureichende Zugangskontrollen zu Stations- oder sogar Serverräumen ausnutzen und dort mit präparierten Sticks das Netzwerk manipulieren. Nur einer von vielen Aspekten, weshalb ein krisensicheres BCM gerade für Krankenhäuser und Kliniken von höchstem Stellenwert ist – denn sowohl im Alltag als noch mehr in Krisensituationen sind sie elementar für die Versorgungssicherheit.

... und was ist zusätzlich gefordert?

Dirk H. Bürhaus: Direkten Netz-Angriffen muss ebenfalls größte Aufmerksamkeit gelten, da diese das Gesundheitswesen und andere KRITIS-Sektoren, aber auch Betriebe immer stärker treffen. Es geht darum, solche Attacken in Echtzeit zu registrieren und die Ausbreitung zu verhindern. Daher hat die 24/7-Überwachung von IT-Systemen, wie wir sie mit dem Security Operations Center bieten, zentrale Bedeutung. Im Sinne integraler Sicherheit kooperiert das SOC auch aufs Engste mit Werkschutz-Mitarbeitern, beispielsweise, wenn es Anomalien im Datenverkehr registriert und dann zur Gefahrenabwehr Serverräume zusätzlich gesichert werden.

All diese Anforderungen bereiten vielen Unternehmern aber Sorge mit Blick auf
Umsetzbarkeit und Haftungsrisiken. Was raten Sie Firmenchefs?

Fritz Rudolf Körper: Umfassend in ganzheitliche Sicherheit zu investieren. Denn nicht oder nur halbherzig zu handeln, wird am Schluss doppelt so teuer – in Form massiver Schäden plus Haftungsfolgen, die bis zu 2 % des weltweiten Umsatzes reichen können. Trotzdem ist die Unternehmer-Sorge nachvollziehbar: Zahlreiche Anforderungen sind gerade für kleine und mittelständische Firmen in Eigenregie kaum zu managen. Aber hier besteht gezielte externe Unterstützung. 

Zudem ergibt sich hieraus, dass Sicherheit Chefsache sein muss – egal, ob bei physischem Schutz oder Cybersecurity?

Fritz Rudolf Körper: Exakt. Unternehmensschutz muss immer strategische Führungsaufgabe sein. Denn Prävention und integrierte Sicherheit stärken die Stabilität in einem immer unkalkulierbarer werdenden Umfeld. Sie zahlen damit ganz entscheidend auch auf das Kundenvertrauen ein.