Neue Risiken, neue Antworten: Resilienz statt Routine

Das hat den Sicherheitsprofi allerdings nicht davor bewahrt, selbst Opfer zu werden. Es war 2022, als Kriminelle eine Website von Zobels Gesellschaft advanced agile capital ins Netz stellten. Eine Fake-Website – „gut gemacht“, wie Zobel anerkennt – zur Mitarbeiterakquise. „Es wurden in unserem Namen Stellenanzeigen geschaltet“, erinnert er sich, „sogar in Tageszeitungen“. Das Ziel: Die neuen „Mitarbeiter“, die auf den Trick hereinfielen, erhielten Zahlungen auf ihr Konto, die in Kryptowährungen getauscht und dann weiter überwiesen werden sollten. „Ein klassischer Fall von Identitätsdiebstahl zum Zweck der Geldwäsche“, so Zobel. Der gelernte Banker kam schnell dahinter, was lief, befand sich aber bereits in der „Auseinandersetzung mit sieben Landeskriminalämtern und vier Staatsanwaltschaften“. Anderthalb Jahre hatte es gedauert, Geld und Zeit gekostet, bis er wieder „heil aus der Sache raus“ war. Zobels Fazit: „Es kann jeden treffen.“ Vor allem Betrieben, die „eh schon auf wackeligen Beinen stehen“, könne ein solcher Vorfall „den Boden unter den Füßen wegziehen“.

Zobel unterscheidet zwischen ungezielten Angriffen, etwa Ransomware Attacken zur Lösegelderpressung, und gezielten Spionageangriffen auf gut geschützte Systeme. Erstere sind für ihn „Kindergarten“ – „das kann jeder“. Hinter letzteren steckten oft „beeindruckendes Know-how“ und „Beharrlichkeit“. Zobels wichtigste Botschaft: Sich hundertprozentig zu schützen, ist technisch und wirtschaftlich unmöglich: „Das kann und will sich niemand leisten.“ Daher gelte es, die „Kronjuwelen“ eines Unternehmens zu identifizieren und abzusichern. „Das kann für jeden etwas anderes sein.“ Für einen Dax-Konzern etwa habe man die kompletten Forschungsdaten gesichert. Dazu wurde der Dienstleister, bei dem diese zuvor lagen, durch eine neu aufgebaute interne Abteilung ersetzt. Denn wenn es um das Herz eines Unternehmens geht, setzt Zobel auf eine „Zero-Trust“-Strategie. Die Investition war hoch, im zweistelligen Millionenbereich. Doch die Daten seien „vermutlich Milliarden wert“. Immer wichtiger werde zudem eine souveräne Multi-Cloud-Strategie.

Zobel, der noch aus einer Welt kommt, als Firewall- Administration das einzig bekannte Mittel gegen Hackerangriffe war, hat die gesamte Evolution mitgemacht. Was heute anders ist? „Angreifer suchen nicht mehr gezielt nach Daten, sondern saugen infiltrierte Systeme erst einmal komplett leer. Und schauen dann erst, was sich wie verwerten lässt.“ So sei es heute auch kein Problem, an alle möglichen Daten zu kommen, etwa von Mitbewerbern: „Das Netz ist voll.“

Um die „Kronjuwelen“ geht es auch beim Automobilzulieferer ZF Friedrichshafen AG. „Wir sind ein Hochtechnologieunternehmen“, sagt Sascha Teifke, Head of Physical & Personnel Security/Crisis Management. „Somit stellt Spionage für uns ein wichtiges Risiko dar.“ ZF hat sogar ein eigenes Cybersecurity Center gegründet, gemeinsam mit Forschungsinstituten. Doch es wäre „naiv anzunehmen“, so Teifke, dass sich „Akteure auf den virtuellen Raum beschränken“. Die klassischen Spionagewege, etwa das „Einbringen oder Kompromittieren von Mitarbeitern“, blieben relevant. Vor allem bei der Fertigung im Ausland – ZF hat 161 Produktionsstandorte in 30 Ländern – gebe es einen „gewissen Wissensexport“, weiß Teifke, „das lässt sich nicht vermeiden“. Doch maximal zu schützen sei Hightech-Wissen, das man „nicht an Dritte verlieren will, seien es Wettbewerber oder Staaten“. Bei Software geschieht dies zum Beispiel durch Kryptographie, bei Elektronik durch Vergießen in Kunstharz, bei Material durch geheime Rezepturen. Zur Prävention setzt ZF unter anderem auf physische Sicherheitsmaßnahmen – etwa Entwicklerteams, die in streng zutrittsbeschränkten Umgebungen arbeiten und nur Zugang zu Informationen erhalten, die sie benötigen. „Das ist quasi das kleine Einmaleins“, sagt Teifke. „Ein wenig konterkariert“ würden derlei Bemühungen durch die liberale Arbeitswelt mit Homeoffice und Campus-Atmosphäre. „Die Kunst ist es, eine gute Balance zwischen Komfort und Sicherheit zu finden.“ Geheimnisträgern aber „muss klar sein, dass das nicht immer geht“. Neben dem Schutz interner Werte, Know-how wie Sachwerte, bestehen aber auch „Risiken von außen“: Die Ahrtalkatastrophe 2021 etwa hat auch das dortige ZF-Werk unter Wasser gesetzt. Obwohl der Hochwasserschutz fest zum Risikomanagement gehört – mit Notfallplänen, Spundwänden und Werksfeuerwehren –, „war dieses Szenario in dem Ausmaß nicht absehbar“.

Aktuell gerät eine weitere äußere Gefahr massiv in den Fokus: das „Infrastrukturrisiko“, etwa durch Unterbrechung von Strom-, Wasserversorgung oder Logistik. Eine eigens gegründete Arbeitsgruppe versucht bei ZF diese Risiken zu erkennen, zu bewerten und „Response-Pläne“ zu erstellen – festgelegte Vorgehensweisen für den Fall des Falles.

Teifke nennt ein Beispiel: Pünktliche Gehaltszahlungen an die 160.000 Mitarbeiter seien „sehr wichtig“. Falle während des Rechnungslaufs die IT aus, müssten diese sichergestellt sein – „über Wege, die in Notfallplänen beschrieben und regelmäßig getestet werden“. Zum „Einmaleins“ gehört selbstverständlich auch die Notstromversorgung, um Rechenzentren am Laufen zu halten oder kritische Produktionsprozesse geordnet herunterzufahren, etwa die Härterei.

Und auch der Kriegsfall ist durchaus Thema. Wie halten wir dann die Logistik aufrecht? Wie viel Material lagern wir für den Fall von Nachschubproblemen? All das sind Fragen, für die Teifkes Team Response-Pläne erarbeitet. Zwei Beispiele: „Wenn Osteuropa Soldaten einberuft, fehlt hierzulande ein Großteil der LKWFahrer.“ Und wenn Deutschland einberufe, fehlten ZF-Mitarbeiter. „Damit hat sich vermutlich seit dem Kalten Krieg niemand mehr beschäftigt.“ Hinzu kommen immer wieder neue Szenarien, etwa Drohnensichtungen. „Wir waren hier zwar noch nicht in dem Maße betroffen wie etwa im vergangenen Jahr Verkehrsflughäfen“, sagt Teifke. Doch auch für diesen Fall wolle man einen Response-Plan haben.

Beim Stromausfallrisiko, das viele Unternehmen umtreibt, kommt die AVS Aggregatebau GmbH ins Spiel. Der Mittelständler aus Ehingen- Stetten produziert seit 1986 Notstromaggregate – für Feuerwehren, Technisches Hilfswerk, Militär und auch Unternehmen. „Die Katastrophen dieser Welt sind für unser Geschäft förderlich“, bringen es die Geschäftsführer Steffen Herrmann und Benedikt Meßmer auf den Punkt. Mit Beginn des Ukraine Kriegs etwa habe der Markt „komplett gesponnen“. Nach wie vor sei die Nachfrage konstant hoch, von Bund, Ländern, Kommunen oder Unternehmen. Dafür sorgen nicht zuletzt Ereignisse wie der großflächige Stromausfall in Berlin nach einem Brandanschlag im Januar. „Bei dem auch unsere Aggregate im Einsatz waren“, wie Herrmann betont. Zuvor hatte Brandenburg 230 AVS-Aggregate bestellt, die auf die Kommunen verteilt wurden, Niedersachsen 50. „Derlei Beschaffungen wachsen kontinuierlich.“

Doch damit ist es nicht getan. Die schwierigste Aufgabe ist laut Herrmann, nach einem großflächigen Stromausfall das Netz wieder aufzubauen: „Das dauert meist Tage.“ Sukzessive werden dann Aggregate an die einzelnen Trafostationen angeschlossen, um Teilnetze wieder zum Laufen zu bringen. Helfen soll dabei künftig eine neue Technik, die AVS im Forschungsprojekt „Linda 2.0“ mit der Uni Augsburg, der TU München, dem LEW und weiteren Partnern entwickelt hat. Während bei Stromausfall heute die vielen „Fremdeinspeiser“ – vor allem Solar- und Windkraftanlagen – automatisch abschalten, sollen sie dank neuer Steuerungstechnik weiter Strom liefern und so helfen, das Netz schneller zu reaktivieren. Die Diesel- und neuen Batteriehybridaggregate „sorgen dann vor allem für Netzbildung und Balance“, so Herrmann, „und brauchen selbst wenig Energie“. Sogar Wasserkraftwerke könne man „auf diese Weise fahren“, sagt der Ingenieur. Größte Herausforderung bei längeren Ausfällen ist für ihn die „Infrastruktur im Nachgang“. Der Nachschub für die Dieselaggregate, die acht bis 48 Stunden laufen, müsse garantiert werden, etwa durch ebenfalls mit Notstrom versorgte Tankstellen und gesicherte Verkehrswege. „Das ist dann die Katastrophenschutzaufgabe der Länder und Kommunen.“ Und was bedeutet dies für die Unternehmen? „Bis ein größerer Stromausfall kompensiert ist, muss sich jeder selbst helfen“, sagt Herrmann. Er denkt dabei vor allem an die IT-Infrastruktur. Eine komplette Produktion mit Notstrom am Laufen zu halten, sei dagegen kaum sinnvoll – „falls überhaupt möglich“. Insgesamt glaubt der Experte, dass „wir bei der Netzsicherheit in Deutschland gut aufgestellt sind“. Wobei immer klar sein müsse: „Kein Netzbetreiber wird Ihnen garantieren, dass der Strom nicht ausfällt.“ Ein Notstromaggregat sei daher wie eine Versicherung: „Man trägt die Kosten und hofft gleichzeitig, dass man es nie benötigt.“

Ähnlich sieht es bei der Objektsicherheit aus, dem Metier von Alexander Behr. Schon mit 18 hatte der studierte Automatisierungstechniker nebenbei als Security Mitarbeiter auf Veranstaltungen gearbeitet, später neben seinem Ingenieurbüro mit Behr Security einen eigenen Sicherheitsdienst in Leutkirch aufgebaut, mit heute 15 Mitarbeitern. „Das Thema hat mich nicht mehr losgelassen“, sagt Behr.

Zu seinen Kunden gehören vor allem Eventveranstalter und Kommunen, aber auch immer mehr Betriebe. Für einen regionalen Luftfahrzulieferer leitet Behr – der auch einen Master in Sicherheitsmanagement hat – die komplette Unternehmenssicherheit.

Für den Experten fängt das Thema „schon beim Zaun an“. Viele Firmengelände verfügten nicht einmal über eine Einfriedung, weiß Behr, „da kann einfach jeder reinspazieren“. Aktuell bearbeitet er die Anfrage eines Unternehmens, dessen firmeneigenes „Red Team“ die Aufgabe hat, ins Unternehmen einzudringen. „Unsere Aufgabe ist es, das zu verhindern.“

Neben dem „Schutz der Gebäudehülle“, etwa durch Umzäunung, Videoüberwachung, Alarmanlagen oder Wachpersonal, gehören dazu vor allem Zutrittskontrollen. Denn „nicht jeder braucht Zutritt zu jedem Bereich“. Dazu werden Zonen mit unterschiedlichen Sicherheitsstufen definiert, teilweise mit zweistufiger Authentifizierung per Chipkarte und PIN, etwa für Serverräume. Sichergestellt werden müsse zudem, dass sich Mitarbeiter von Fremdfirmen „nur kontrolliert im Unternehmen bewegen können“.

Derlei Risikoanalysen und -konzepte seien zunehmend gefragt – nicht selten, nachdem etwas passiert sei. Für Behr keineswegs Theorie. Er verweist etwa auf den Einbruch beim Ulmer Rüstungszulieferer Elbit im vergangenen September.

Generell dürften private Security-Anbieter für die hiesige Sicherheitsarchitektur immer wichtiger werden, glaubt Behr. „Sie übernehmen zunehmend auch hoheitliche Aufgaben“ – etwa Passagierkontrollen an Flughäfen, eigentlich Aufgabe der Polizei. Insgesamt beschäftigen private Sicherheitsunternehmen in Deutschland laut Behr rund 300.000 Mitarbeiter. „Das sind fast so viele wie alle Länderpolizeien zusammen.“ Wünschen würde sich Behr eine stärkere Zusammenarbeit mit den Behörden sowie mehr Befugnisse. Denn Sicherheitsdienste arbeiteten bislang auf Basis des „Jedermannsrechts“. Sprich, sie dürfen nicht mehr als jeder andere Bürger auch.

Beispiel Drohnenspionage: Über Firmengeländen sei das Fliegen zwar verboten, sagt Behr. „Doch wenn Sie als Werkschutz einen Piloten stellen – was selten genug gelingt –, dürfen Sie ihn nicht einmal festhalten.“ Denn der Überflug sei lediglich eine Ordnungswidrigkeit. Die „vorläufige Festnahme durch Jedermann nach der Strafprozessordnung“ sei aber nur bei Straftaten erlaubt. Der Security-Mitarbeiter mache sich im Zweifel selbst strafbar, wegen Freiheitsberaubung. „Das ist ein schmaler Grat.“

Unterschiedliche Sicherheitsthemen mögen für einzelne Unternehmen unterschiedlich relevant sein. Dennoch möchte ZF-Manager Teifke ein grundsätzliches Wort vor allem an den Mittelstand richten. Er verstehe durchaus, dass nicht jeder die Mittel für umfangreiche Security- Maßnahmen habe. Dennoch sollte sich jeder klarwerden, „was zeichnet mich aus, was hält mich im Markt?“ – sei es ein bestimmtes Produkt oder Verfahren. Die zentrale Frage: „Kann ich es mir leisten, dieses Kronjuwel nicht zu schützen, zumindest mit einer Basisabsicherung?“ Die Antwort darauf müsse „immer nein lauten“, ist Teifke überzeugt. „Es sei denn, man möchte das Thema Unternehmensnachfolge nicht weiter bedenken.“

Jürgen Baltes lebt und arbeitet als freier Journalist in Überlingen