Gefährdungslage noch weiter verschärft

Insgesamt 116 Seiten dick ist der Bericht zur Lage der IT-Sicherheit in Deutschland 2022. Doch das Dokument lässt sich in einem Satz auf den Punkt bringen, der gleich am Anfang der Zusammenfassung steht: „Insgesamt spitzte sich im Berichtszeitraum die bereits zuvor angespannte Lage weiter zu.“

Dominierend sind dem BSI zufolge Ransomware-Attacken, bei denen die Angreifer bestimmte Daten oder ganze Dateninfrastrukturen verschlüsseln, zuvor eventuell noch sensible Daten abziehen, und anschließend ein „Lösegeld“ für die Entschlüsselung und die Herausgabe verlangen. Erst kürzlich wurde die Wilken Software Group Opfer eines solchen Angriffs und vor etwa einem Jahr auch die Kisters AG. Beide IT-Dienstleister entwickeln Produkte für die Energiewirtschaft.

Beunruhigende Angriffe auf Software-Lieferketten

Eine Übersicht des BSI, die auf Rohdaten der „AV-Test GmbH“ basiert, beziffert den täglichen Zuwachs neuer Malware-Varianten im April und Mai dieses Jahres mit knapp 300.000. Der höchste Wert im Berichtszeitraum, der von Juni 2021 bis Mai 2022 reicht, lag mit durchschnittlich knapp 450.000 neuen Varianten pro Tag im Oktober des vergangenen Jahres. Insgesamt hat nach Angaben des BSI die Anzahl der Schadprogramme im gesamten Berichtszeitraum um 116,6 Millionen zugenommen.

Wie schon in den vergangenen Jahren hat sich auch im aktuellen Berichtszeitraum die Gefährdungslage für die kritischen Infrastrukturen weiter verschärft. Eine zunehmende Bedrohung geht laut BSI von Angriffen auf die Software-Lieferketten von IT-Dienstleistern zu ihren Kunden aus. Als „besonders beunruhigend“ stuft die Behörde diese Entwicklung ein.

Gemäß dem „Gesetz über das Bundesamt für Sicherheit in der Informationstechnik“ (BSI-Gesetz) sind die Betreiber kritischer Infrastrukturen verpflichtet „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen (…) zu treffen (…).“ Dementsprechend müssen die Unternehmen alle zwei Jahre gegenüber dem BSI den Nachweis erbringen, dass ihre IT-Sicherheit dem Stand der Technik entspricht. Allerdings stellt die Behörde immer wieder Mängel fest. Insgesamt 2.941 Sicherheitsmängel habe sie zwischen dem 1. April 2020 und 31. März 2022 in den Sektoren Energie, Ernährung, Finanz- und Versicherungswesen, Gesundheit (nur medizinische Versorgung), Informationstechnik und Telekommunikation sowie Wasser feststellen müssen.

Im Energiesektor hat das BSI in der Kategorie „Managementsystem für Informationssicherheit“ die meisten Mängel festgestellt. Hier hat die Behörde im Vergleich zum Vorjahresbericht auch eine Zunahme der Zahl an Mängeln zu verzeichnen. Die zweitmeisten Mängel fallen in die Kategorie „bauliche und physische Sicherheit“. An dritter Stelle folgt die Kategorie „Asset Management“.

 
Meldepflicht für Störungen

Wenn Cyberangriffe trotz aller Vorkehrungen doch erfolgreich sind und zu Störungen, zum Ausfall oder einer erheblichen Beeinträchtigung der Funktionsfähigkeit der von ihnen Betriebenen kritischen Infrastruktur führen, müssen die Unternehmen eine Meldung an das BSI machen. Dies schreibt das IT-Sicherheitsgesetz vor. Insgesamt gingen dem Lagebricht zufolge in den betrachteten zwölf Monaten 452 solcher Meldungen ein. Auf den Energiesektor entfielen 82 Meldungen. Stärker in Mitleidenschaft war nur noch der Gesundheitssektor mit 138 Meldungen gezogen.

Als besonders wirksamen Schutz des Energiesektors vor den Gefahren der Cyberkriminalität sieht die Behörde die intelligenten Messsysteme mit dem zertifizierten Smart Meter Gateway. Darüber hinaus müssen auch weitere Geräte den Mindestvorgaben des BSI genügen, etwa Steuerboxen oder Submetering-Einheiten, die an das Smart Meter Gateway angebunden werden. Die entsprechende technische Richtlinie wird dem Lagebericht zufolge noch 2022 veröffentlicht.

All diese Vorkehrungen sind nach Überzeugung des BSI für die Schaffung eines sicheren intelligenten Stromnetzes und damit letztlich für das Gelingen der Energiewende notwendig. Daher werde die Behörde die Zusammenarbeit mit dem Bundeswirtschaftsministerium, mit Partnerbehörden und der Energiebranche zur Förderung eines stufenweisen Rollouts intelligenter Messsysteme intensivieren.

Der Bericht "Die Lage der IT-Sicherheit in Deutschland 2022" steht auf der Internetseite des BSI zum Download zur Verfügung.