Nach den Angriffen auf das Stromnetz in Nordrhein-Westfalen und Südbrandenburg fordert der NRW-Innenminister ein Umdenken bei der Abwägung zwischen Sicherheit und Datenschutz. „Wir sind ja bei Videoanlagen, überhaupt bei allen Fragen, wo es um Eingriffe in Bürgerrechte oder um Datenschutz geht, in Deutschland extrem sensibel“, sagte Herbert Reul. Die kritische Infrastruktur müsse besser geschützt werden. Deutschlands Infrastruktur sei „unheimlich leicht angreifbar“, so der CDU‑Politiker. Das fange damit an, dass alle Informationen, wo solche Anlagen stehen und wie sie funktionieren, für jedermann zugänglich seien.

Das ist nicht das Problem, sagt Mirko Reuss (54), Experte für Cybersicherheit, der mit seinem Unternehmen asvin GmbH unter anderem die EU-Kommission und verschiedene Bundesbehörden zum Thema Cyber-Resilienz und KI-Sicherheit berät.

Herr Ross, diese Frage taucht nach jedem Anschlag auf die kritische Infrastruktur auf. Wie können wir uns besser schützen?

Mit Videoüberwachung sicher nicht. Umspannwerke wie das in Bergheim haben eine gewisse Dimension. Da müsste man massenhaft Kameras hinstellen. Außerdem gibt es viele weitere Anlagen der kritischen Infrastruktur: die Wasserversorgung, Glasfaserverteiler, Kabelschränke, Netzwerke oder Kabelschächte an den Bahnstrecken. Das kann man nicht alles mit Kameras überwachen.

Übertreiben wir es mit dem Datenschutz, wie der Innenminister behauptet?

Das sehe ich nicht so. Wenn ich keinen Anschlag plane, sondern nur mit meinem Hund in der Nähe eines Umspannwerks spazieren gehe, will ich nicht von einer Videokamera erfasst werden, deren Material anschließend in der Datenverarbeitung landet. Die informationelle Selbstbestimmung ist ein Grundrecht. Auf der anderen Seite steht das Bedürfnis, auch kritische Infrastrukturen zu schützen. Das macht es in der Abwägung so schwer. Am Ende kommt dabei nur sehr viel Bürokratie heraus.

Was ist die Alternative?

Wir müssen die Widerstandsfähigkeit unserer Infrastruktur stärken. Wenn eine Komponente wie ein Umspannwerk ausfällt, muss das von anderen sofort kompensiert werden.

In Bergheim hat das funktioniert.

Ja. Unsere Infrastruktur ist in den letzten Jahren stark gewachsen, aber stellenweise komplett überaltert. Uns geht es da nicht anders als der Deutschen Bahn. Da muss kräftig investiert werden. Von der öffentlichen Hand. Das können Netz- und Infrastrukturbetreiber allein auf die Schnelle gar nicht stemmen. Und über die Preise für Strom, Wasser oder Mobilfunk schon mal gar nicht. Das wäre viel zu teuer. Wir brauchen resiliente Systeme.

Was heißt das?

Wenn ein Umspannwerk durch einen Brandanschlag ausfällt, muss wenigstens sichergestellt sein, dass wenigstens die Mobilfunkmasten in der Umgebung noch funktionieren. Wir brauchen redundante Systeme.

Gut. Aber was halten Sie von OpenStreetMap (OSM)? Auf der Plattform kann jeder kritische Infrastrukturen frei und ohne jeden Zwang kartieren. Jeden Verteilerkasten, jedes Trafohäuschen. Ist das nicht eine Einladung für den nächsten Anschlag?

Bei OSM ist ein großer Anteil unserer kritischen Infrastruktur längst kartiert. Das kann man nicht mehr zurückdrehen, selbst wenn man es wollte. Diese Daten finden sich alle im Internet. Ich kann im Internet nichts verstecken, was öffentlich recht gut zu erkennen ist. Wer einen Anschlag verüben will, ist auf OSM nicht angewiesen. Versierte Täter finden auch so heraus, wo welche Unterseekabel liegen. Wir sind halt verwundbar. Wir sind eine komplexe Gesellschaft mit einer komplexen Infrastruktur. Und damit leider auch angreifbarer. Viel wichtiger ist doch die Frage, was man in puncto Prävention tun kann.

Und? Was kann man tun?

Zum Beispiel prüfen, wie gut die Polizei, die Landesämter für Verfassungsschutz und die Nachrichtendienste aufgestellt sind. Die Polizei hat es durch den Föderalismus schon schwer, über Landesgrenzen hinweg Informationen auszutauschen.

Warum?

Das hat auch viel damit zu tun, dass die Polizei in den Bundesländern verschiedene IT-Systeme fährt. Das hat mit Datenschutz und einer möglichen Aufweichung gar nichts zu tun. Wir müssen diese Barrieren abbauen und den Informationsfluss verbessern, dafür sorgen, dass Daten nicht fünfmal konvertiert werden müssen.

Sie beraten unter anderem das Innenministerium des Bundes, in Baden-Württemberg und verschiedene Sicherheitsbehörden. Was sind Ihre Erkenntnisse?

Die Aufmerksamkeit und die Wachsamkeit sind sehr hoch. Da wird nichts auf die leichte Schulter genommen. In der Praxis scheitert man aber immer wieder an ganz banalen Dingen. An der chronischen personellen Unterbesetzung, an der Budgetierung. Wenn eine Sicherheitsbehörde mit der Umsetzung schöner Pläne warten muss, bis der gesamte Landeshaushalt verabschiedet ist, wird es schwer, auf dynamische Lagen wirklich schnell zu reagieren. Und wir haben in Europa den höchsten Datenschutzstandard. Das hat natürlich etwas mit unserer historischen Verantwortung zu tun.

Was hat das für Folgen?

Wir sind in Europa bei der Frage, wie Sicherheitsbehörden Daten austauschen, fast schon das Schlusslicht. Wir leben halt in digitalen Zeiten mit digitalen Täterspuren. Wie stark man solche Datenquellen nutzen, zusammenziehen und analysieren darf, muss schnell geklärt werden. Ermittler müssen die Möglichkeit haben, in digitalen Massendaten Muster zu identifizieren, und Daten zu verschneiden. Das Ganze unter Wahrung der rechtsstaatlichen Prinzipien, nachvollziehbar und unter Kontrolle.

Wie schnell muss das gehen?

So schnell wie möglich. Anschläge wie jetzt in Brandenburg und NRW werden kontinuierlich zunehmen. Da gibt es vielschichtige Akteure, die ein Interesse daran haben, dass diese Art von Angriffen als Mittel der Verunsicherung eine Renaissance erlebt. Es wäre ein Fehler, immer nur auf Russland zu zeigen.

Zur Person

Mirko Ross, Jahrgang 1972, ist ein ehemaliger Hacker, der sich zu einem anerkannten Experten für Cybersicherheit im Zeitalter der KI entwickelt hat. Er ist Gründer und CEO des Cybersicherheits-Unternehmens asvin GmbH mit Sitz in Stuttgart, das sich mit der Frage beschäftigt, wie Firmen und Institutionen verdeckte Sicherheitsrisiken erkennen und sich vor Bedrohungslagen besser schützen können. Ross berät unter anderem die EU-Kommission und verschiedene Bundesbehörden zum Thema Cyber-Resilienz und KI-Sicherheit.