der US-amerikanische Außenminister Antony Blinken verließ Skopje, ehe es überhaupt zu einem Zusammentreffen mit Sergej Lawrow kommen konnte: So nutzte der russische Chefdiplomat das OSZE-Außenministertreffen in der nordmazedonischen Hauptstadt, um den Einfluss Moskaus in der weltweit größten regionalen Sicherheitsorganisation zu wahren. Die Vertreter der baltischen Staaten, Polens, Rumäniens und der Ukraine waren der Zusammenkunft, die heute zu Ende geht, gleich ferngeblieben. Lisa-Martina Klein hat mit dem litauischen Politologen Linas Kojala darüber gesprochen, welche Signale die OSZE setzen müsste, um Moskaus Expansionsdrang einzudämmen – und wie wichtig die dauerhafte Stationierung einer deutschen Brigade in Litauen dabei ist.
Von der Idee des früheren israelischen Premierministers Ehud Olmert, nach Kriegsende Nato-Soldaten in den Gazastreifen zu schicken, hält Shlomo Shpiro – nichts. Gemeinsam mit dem früheren israelischen Botschafter in Deutschland, Jeremy Issacharoff, war er diese Woche zu Gast bei uns in der Redaktion zu einem Security.Breakfast. Mit Blick auf die Zukunft nach dem Krieg sprachen sich beide für eine weitere Annäherung ihres Landes an Saudi-Arabien aus – Kronprinz Mohammed Bin Salman habe das Zeug, eines Tages in die Fußstapfen des ägyptischen Präsidenten Anwar al-Sadat zu treten. Inwieweit Pakistan durch die saudische Position ebenfalls gezwungen sein könnte, seine Beziehungen zu Israel zu normalisieren, analysiert Shams ul Haq.
Der Tod Henry Kissingers bewegt die Welt. In unserer internationalen Presseschau würdigen viele das Lebenswerk eines Mannes, der als 15-Jähriger vor den Nazis aus Deutschland in die USA geflohenen war. In die lobenden Erinnerungen an den Friedensnobelpreisträger mischen sich auch kritische Stimmen, die seine Unterstützung für lateinamerikanische Diktaturen und seine Rolle bei der Bombardierung Kambodschas beleuchten.
Eine aufschlussreiche Lektüre wünscht Ihnen
Es sind kleine Nebenbemerkungen, die in den vergangenen Wochen immer wieder aufhorchen ließen: Deutschland sei nicht wirklich gut auf größere Angriffe auf die IT-Sicherheit vorbereitet, deutsche Firmen würden schon bei den essenziellen Standardsicherheitsmaßnahmen versagen. Und noch sei das Thema Cybersicherheit nicht flächendeckend angekommen – nicht im Kabinett, nicht bei den Unternehmensvorständen. Auch das sagt nicht irgendwer, sondern die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), Claudia Plattner. Und keiner widerspricht ihr. Im Gegenteil: Alle Fachleute stimmen ihr zu – ob vom Chaos Computer Club, vom Bundesamt für Verfassungsschutz oder aus der Privatwirtschaft.
Deshalb soll sie gestärkt werden: mit Gesetzgebung wie der deutschen Umsetzung der Netzwerk- und Informationssicherheitsrichtlinie 2 der EU, aber auch mit dem Kritis-Dachgesetz. Beide setzen extrem niedrigschwellig an: Unternehmen und öffentliche Institutionen sollen ab bestimmten Schwellenwerten oder bei bestimmten Tätigkeiten das tun müssen, was von ihnen erwartet werden darf: ihre Systeme zu kennen und sie abzusichern, wenn sie für die Gesellschaft unverzichtbar sind.
Dafür sollen möglichst viele Akteure zusammenarbeiten – und Informationen austauschen. Über ganz konkrete Sicherheitsvorfälle – damit nicht das, was in einem Unternehmen oder einer Behörde passiert ist, auch in anderen passiert. Und damit großflächige Angriffsmuster überhaupt erkannt werden können.
Doch die deutsche Debatte ist vor allem eines: sehr deutsch. Wer soll unter welchen Umständen welche Informationen zu welchem Vorfall erhalten dürfen? Die Nachrichtendienste etwa unterliegen oft den Third-Party-Rules: Informationen von Dritten dürfen sie oft nur als “finished Intelligence” teilen – und auch dann längst nicht mit jedem. Doch im Vergleich zum Rohmaterial fehlen viele Kontextinformationen, die gerade bei Cybersicherheitsvorfällen maßgeblich sind, um größere Muster zu erkennen.
Dabei geht es vor allem um den Methodenschutz, wie BND-Vizepräsident Dag Baehr diese Woche zu Protokoll gab: Natürlich wollten alle Nachrichten- und Geheimdienste der Verbündeten einen Angreifer erwischen. Es gehe aber für diesen speziellen Bereich auch stets um Abstreitbarkeit, “plausible deniability” nach dem Motto: “Die Maus wurde gefangen, aber es war nicht meine Katze.”
Und auch die Deutschen könnten oft nicht die Informationen teilen, die sie gerne teilen würden. Und das sei ein Problem: “Wir können uns das Warten nicht leisten”, so Baehr. “Und die Gefahr steigt exponentiell, während wir uns mit Übermittlungsvorschriften beschäftigen.” Zusammenarbeit setze voraus, dass die Beteiligten dies wollten, könnten und dürften. Mit Blick auf Cybersicherheit bedeute das, sagt der frühere KSK-Kommandeur: “Die klopfen schon die ganze Zeit an unsere Tür, während wir uns damit beschäftigen, ob wir dem anderen erzählen dürfen, dass einer anklopft.”
Doch auch jenseits der klandestinen Gemeinde gibt es Probleme bei der Zusammenarbeit. In Deutschland etwa die Aufteilung zwischen dem Bund und den Ländern: Wer ist wofür zuständig? Wer im Fall der Fälle kompetent? Die geplante Zentralstellenfunktion des Bundesamts für Sicherheit in der Informationstechnik (BSI) für IT-Sicherheitsvorfälle und die des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) für physische Vorfälle stehen seit über einem Jahr im Raum, sind aber nach wie vor nicht Konsens mit allen Bundesländern.
Die Bundesebene spricht beim BSI inzwischen auffällig oft davon, dass die Bonner IT-Sicherheitsbehörde doch nur eine Zentralstellenfunktion wie das BKA erhalten solle – und die meisten Länder finden das eine gute Idee. Doch es bräuchte eine verfassungsändernde Zwei-Drittel-Mehrheit in Bundesrat und Bundestag. Und bei der Länderkammer ist das bislang nicht gesichert. Insbesondere Bayern und Hessen verwahren sich bislang dagegen – beides Länder mit vergleichsweise starken, eigenen Institutionen.
Und so liegt die Hoffnung der Privatwirtschaft derzeit vor allem darin, einen anderen Aspekt zu stärken: die Resilienz der Infrastrukturen und kritischen Anlagen insgesamt. Siegfried Russwurm, Präsident des Bundesverbandes der Deutschen Industrie (BDI), betont, dass es im Endeffekt egal sei, ob eine Anlage wegen eines physischen oder eines Angriffs auf die IT ausfalle: wenn sie ausfalle, sei der Schaden da. Es sei auch unmöglich, 500.000 Kilometer Glasfaser zu schützen, sagt Thomas Tschersich, Chef bei Telekom Security.
Resilienz ist also das Zauberwort: Da IT nicht perfekt geschützt werden kann, geht es neben allen zumutbaren Maßnahmen auch darum, die Ausfallzeiten gering zu halten und Systeme und Anlagen schnellstmöglich wieder zum Arbeiten zu bringen. Doch durchdekliniert ist das noch nicht: Welche Folgen das etwa für Lagerhaltung, Redundanzplanung und Notfall-Verträge mit Konkurrenten im Schadensfall hat, ist bislang kaum Thema. Vorerst obsiegt in der deutschen Sicherheitsdebatte die Resilienz der Debatte über Trennungsgebot und Zuständigkeiten im Föderalismus.
Israel und Pakistan haben nie formelle diplomatische Beziehungen unterhalten. 1947 stimmte Pakistan gegen den Teilungsplan der Vereinten Nationen für Palästina, und bis heute erkennt es den Staat Israel nicht an. Den seit 7. Oktober anhaltenden Krieg zwischen der Terrororganisation Hamas und israelischen Streitkräften bezeichnete das Außenministerium in Islamabad im November als “traurige Erinnerung und direkte Folge von mehr als sieben Jahrzehnten illegaler ausländischer Besatzung, Aggression und Missachtung des Völkerrechts”. Inoffiziell hat das pakistanische Militär in der Vergangenheit die Hamas mit Geldern und Technik unterstützt.
Im aktuellen Nahostkrieg hat sich die pakistanische Regierung darauf verständigt, nicht zu einer weiteren Eskalation des Konflikts beizutragen. Auf dem Gipfel arabischer und islamischer Staaten Mitte November in Riad verurteilte Premierminister Anwaar ul Haq Kakar das Vorgehen Israels als unverhältnismäßig, brutal und aggressiv; systematisch würde gegen Menschenrechte, das Völkerrecht und die Humanität verstoßen. Dafür müsse Israel von der internationalen Gemeinschaft zur Rechenschaft gezogen werden.
Ähnlich äußerte sich der Generalstabschef der Armee, Asim Munir. Er forderte die internationale Gemeinschaft auf, Israels “rechtswidrige Gewaltanwendung” zu beenden. Die “neue Welle der Gewalt in Gaza ist das Ergebnis unverminderter Unterdrückung, anhaltender Menschenrechtsverletzungen und des staatlich geförderten Sakrilegs der Al-Aqsa-Moschee”, sagte er.
Die Äußerungen zeigen, dass die pakistanischen Regierungsstellen darum bemüht sind, die Beziehungen ins westliche Ausland durch unbedachte Formulierungen nicht zu sehr zu gefährden. Jede Bemerkung, die als aktive Befürwortung von Gewalt gegen Israel interpretiert werden könnte, wurde bislang vermieden.
Aus früheren diplomatischen Fehlern gelernt
Diese vorsichtige Haltung kann als Lehre aus jüngsten Konflikten angesehen werden: 2018 etwa erklärte der israelische Premierminister Benjamin Netanjahu mahnend bei einem Besuch in Indien, dass Israel kein Feind Pakistans sei und dass Pakistan sich gegenüber Israel “nicht wie ein Feind verhalten sollte”. Als der damalige pakistanische Premierminister Imran Khan 2022 kurz nach Kriegsbeginn nach Moskau reiste, sorgte das für Empörung in westlichen Hauptstädten und führte zu erheblichen diplomatischen Spannungen.
Bislang hält sich die pakistanische Regierung aus diplomatischer Vorsicht mit schärferer Israel-Kritik zurück, beobachtet aber sehr genau die Annäherung Saudi-Arabiens an das Land. Interessant ist in diesem Zusammenhang eine Äußerung des damaligen pakistanischen Regierungschefs Imran Khan 2020. Nach Unterzeichnung der Abraham-Abkommen zwischen Israel, Bahrein und den Vereinten Arabischen Emiraten (VAE) sagte er, dass die USA und “mindestens ein anderes Land” verstärkten diplomatischen Druck auf seine Regierung ausgeübt hätten, ebenfalls diplomatische Beziehungen zu Israel aufzunehmen.
Zwar gab Khan den Namen des Landes nicht preis, doch kann es sich dabei nur um Saudi-Arabien gehandelt haben. Trotz des Gaza-Kriegs hält Thronfolger Mohammed Bin Salman an dem Ziel fest, mittelfristig sein Verhältnis zu Israel zu normalisieren. Die Regierung in Pakistan wiederum hat wiederholt bekräftigt, keine offiziellen Beziehungen aufzunehmen, ehe nicht ein “lebensfähiges, unabhängiges und zusammenhängendes” Palästina mit Ostjerusalem als Hauptstadt geschaffen und von Israel anerkannt werde.
Auf geheimdienstlicher Ebene kooperierten beide Staaten jedoch schon mehrfach miteinander, während des sowjetisch-afghanischen Kriegs etwa und nach dem Schwarzen September 1970/71 in Jordanien, einem etwa ein Jahr dauernden Bürgerkrieg. In der Türkei nutzten Israel und Pakistan ihre Botschaften und Generalkonsulate zudem, um miteinander zu kommunizieren und Informationen auszutauschen. So hätten pakistanische Geheimdienstmitarbeiter in der Vergangenheit über diesen Weg Hinweise auf einen bevorstehenden Terroranschlag im indischen Mumbai 2008 an den israelischen Mossad weitergeleitet, berichtete die pakistanische Zeitung Dawn zwei Jahre später. Als ein Hauptziel war ein jüdisches Kulturzentrum in der indischen Millionenmetropole genannt worden.
Radikalere Töne finden sich indes in der pakistanischen Öffentlichkeit, vor allem in den sozialen Medien. Menschen äußern dort, ihr Leben für Palästina geben zu wollen. Auch rechte Islamisten in Pakistan haben ihre Unterstützung für die Hamas und deren Angriff auf Israel am 7. Oktober bekundet. In ähnlicher Weise haben sich politische Parteien im ganzen Land geäußert, um sich im Vorfeld der Parlamentswahl im Februar kommenden Jahres zu positionieren.
Wenn aber die Tötung palästinensischer Zivilisten anhält und der Druck auf der Straße wächst, könnte die Regierung von Premierminister Kakar ihre bislang vorsichtige Haltung möglicherweise nicht mehr beibehalten.
Mit dem NIS-2-Umsetzungsgesetz (NIS-2-UmsuCG) und dem Kritis-Dachgesetz werden derzeit zwei Richtlinien der Europäischen Union – die NIS-2 Richtlinie und die CER-Richtlinie – in nationales Recht umgesetzt. Als Kritische Infrastrukturen definiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) “Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.”
Die neuen Gesetze sollen den digitalen und physischen Schutz sowie die Widerstandsfähigkeit der Kritischen Infrastruktur verbessern und sichern. Mit den neuen Gesetzen soll vor allem die Funktionsfähigkeit des Binnenmarktes aufrechterhalten werden. Um die bloße Versorgungssicherheit geht es dabei nicht mehr.
So werden Mindestverpflichtungen für Betreiber Kritischer Infrastrukturen eingeführt oder ausgebaut, um das Risiko des Ausfalles oder der Störung der Einrichtungen zu minimieren. Die Zahl der Sektoren nimmt stetig zu, ohne eine Priorisierung zwischen den unterschiedlichen Versorgungsarten. Was besonders wichtig für die Grundversorgung der Bevölkerung ist, wird nicht aufgeführt. Vielmehr stehen die Regelungsziele sinnbildlich für einen sich immer weiter vom Grundgedanken der Krisenvorsorge entfernenden Regulierungsansatz.
Der Anwendungsbereich wird stetig erweitert und die Anzahl der Sektoren im Vergleich zu den Vorgängerregulierungen erhöht. Mittlerweile sind es 18 Sektoren in der NIS-2 Richtlinie und elf Sektoren in der CER-Richtlinie. Dies führt in der Umsetzung dazu, dass viel mehr Betreiber kritischer Einrichtungen die Anforderungen erfüllen müssen.
Zudem wird es künftig neben dem Anlagenbezug einen Bezug auf die Einrichtung geben, sodass je nach Umsatz und Mitarbeiterzahl sogar das gesamte Unternehmen von den Verpflichtungen betroffen sein kann. Der Beratungsaufwand vor allem bei den vielen kleinen und mittelständischen Betreibern wächst enorm an.
Aufgrund des Fachkräftemangels auch im IT-Dienstleistungssektor dürfte hier ein Kraftakt erforderlich sein, um eine ordnungsgemäße Umsetzung der Mindestverpflichtungen zu gewährleisten. In Deutschland geht man derzeit davon aus, dass künftig rund 29.000 Betriebe und öffentliche Einrichtungen der NIS-2 Richtlinie unterliegen. Bisher waren es circa 4.500 Betreiber. So mangelt es derzeit an Ressourcen im operativen Bereich.
Zudem sehen beide Richtlinien jeweils die Benennung einer nationalen Meldebehörde vor. In Deutschland wird es mit dem Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe zwei unterschiedliche Bundesoberbehörden als Meldestellen geben. Überlagernde Zuständigkeiten, uneinheitliche Informationsstände und Schwierigkeiten bei europäischen Kooperationen sind vorprogrammiert.
Dazu kommt, dass bei der Umsetzung der Richtlinien in nationales Recht lediglich eine Mindestharmonisierung vorgesehen ist, können die Mitgliedstaaten im Rahmen der Umsetzung des digitalen und physischen Schutzes jeweils Regelungen unterschiedlicher Reichweite erlassen. Es droht ein uneinheitliches Schutzniveau in der Union.
Der Ansatz, einzelne Einrichtungen zu schützen, führt nicht zu einer nachhaltigen Sicherung der Grundversorgung im Krisen- oder Katastrophenfall. Vielmehr braucht es künftig eine Verordnung zur europäischen Resilienz, um ein einheitliches Schutzniveau zu verwirklichen. Durch die weiter zunehmende Vernetzung der Prozesse und Einrichtungen sowie durch mögliche Spill-Over Effekte könnte der Schutz einzelner Entitäten konterkariert werden, oder gar leerlaufen.
Schließlich kann das am schwächsten geschützte Glied in der Kette Auswirkungen auf das Schutzniveau der anderen haben. Entscheidend ist, welche Teil- und Kernbereiche der Versorgung besonders geschützt werden müssen. Diese müssen dann priorisiert und deren Ausfall kompensiert werden. Eine solche Priorisierung fehlt bislang ebenso wie grenzüberschreitende Lösungen innerhalb der EU zur Minderung der Auswirkungen bei Ausfällen oder von Störungsschäden und zur schnellen Wiederherstellung der Funktionsfähigkeit der Versorgung.
Die Verordnung kann darüber hinaus Verantwortungsbereiche aufeinander abgestimmt regeln. Sie kann nicht nur Rechte und Pflichten von Betreibern der Infrastruktur beinhalten, sondern zugleich auch diese von staatlichen Akteuren und der Bevölkerung mit umfassen, um die Resilienz zu steigern und eine Krisenversorgung zu sichern.
Zugleich würde nur eine Meldebehörde pro Mitgliedstaat, vor allem die Zusammenarbeit unter den Ländern und mit der EU vereinfachen. Ein europaweites und flächendeckendes Monitoring der Versorgung – wie es das bereits in Ansätzen für die Stromversorgung gibt – sollte langfristig das Ziel sein, um Ausfälle oder Störungen frühzeitig zu erfassen und gegebenenfalls regional, aber auch länderübergreifend in der Europäischen Union auffangen zu können.
Schließlich ist die Grundversorgung erst recht im Krisenfall das, was die Kritische Infrastruktur ausmacht. Weshalb sollte sie dann nicht auch europäisch gesichert werden können?
Ferdinand Gehringer ist Referent für Innere Sicherheit und Cybersicherheit bei der Konrad-Adenauer-Stiftung.
Wenn die Stimme aus dem Off sagt: “Das ist die russische Erde”, dann prügeln alle auf dieser Erde aufeinander ein – jede und jeder gegen jede und jeden. Die russische Erde ist in diesem Fall die Bühne im Ballhaus Prinzenallee in Berlin. Dort spielen fünf Darstellende das Stück “Ich bin’s nicht, Wladimir Putin ist es gewesen”. Es geht um den russischen Krieg gegen die Ukraine und die individuelle Verantwortung für diesen Krieg. Gibt es die? Das wird zunächst bestritten. Lässt sich die persönliche Verantwortung negieren? Mit der Zeit immer schwieriger. Immer wieder stehen die drei Männer und zwei Frauen, die in Dialogen und Monologen mit anderen und mit sich streiten, vor einer persönliche Katharsis. Und setzt sie auch ein? In Russland selbst ist nach fast 650 Tagen Krieg nichts davon zu merken. Zum vorerst letzten Mal ist das Theaterstück, das mit dem Titel auf die berühmte Produktion “Ich bin’s nicht, Adolf Hitler ist es gewesen” anspielt, am 10. Dezember um 19 Uhr zu sehen. Mehr Informationen und Karten hier.
der US-amerikanische Außenminister Antony Blinken verließ Skopje, ehe es überhaupt zu einem Zusammentreffen mit Sergej Lawrow kommen konnte: So nutzte der russische Chefdiplomat das OSZE-Außenministertreffen in der nordmazedonischen Hauptstadt, um den Einfluss Moskaus in der weltweit größten regionalen Sicherheitsorganisation zu wahren. Die Vertreter der baltischen Staaten, Polens, Rumäniens und der Ukraine waren der Zusammenkunft, die heute zu Ende geht, gleich ferngeblieben. Lisa-Martina Klein hat mit dem litauischen Politologen Linas Kojala darüber gesprochen, welche Signale die OSZE setzen müsste, um Moskaus Expansionsdrang einzudämmen – und wie wichtig die dauerhafte Stationierung einer deutschen Brigade in Litauen dabei ist.
Von der Idee des früheren israelischen Premierministers Ehud Olmert, nach Kriegsende Nato-Soldaten in den Gazastreifen zu schicken, hält Shlomo Shpiro – nichts. Gemeinsam mit dem früheren israelischen Botschafter in Deutschland, Jeremy Issacharoff, war er diese Woche zu Gast bei uns in der Redaktion zu einem Security.Breakfast. Mit Blick auf die Zukunft nach dem Krieg sprachen sich beide für eine weitere Annäherung ihres Landes an Saudi-Arabien aus – Kronprinz Mohammed Bin Salman habe das Zeug, eines Tages in die Fußstapfen des ägyptischen Präsidenten Anwar al-Sadat zu treten. Inwieweit Pakistan durch die saudische Position ebenfalls gezwungen sein könnte, seine Beziehungen zu Israel zu normalisieren, analysiert Shams ul Haq.
Der Tod Henry Kissingers bewegt die Welt. In unserer internationalen Presseschau würdigen viele das Lebenswerk eines Mannes, der als 15-Jähriger vor den Nazis aus Deutschland in die USA geflohenen war. In die lobenden Erinnerungen an den Friedensnobelpreisträger mischen sich auch kritische Stimmen, die seine Unterstützung für lateinamerikanische Diktaturen und seine Rolle bei der Bombardierung Kambodschas beleuchten.
Eine aufschlussreiche Lektüre wünscht Ihnen
Es sind kleine Nebenbemerkungen, die in den vergangenen Wochen immer wieder aufhorchen ließen: Deutschland sei nicht wirklich gut auf größere Angriffe auf die IT-Sicherheit vorbereitet, deutsche Firmen würden schon bei den essenziellen Standardsicherheitsmaßnahmen versagen. Und noch sei das Thema Cybersicherheit nicht flächendeckend angekommen – nicht im Kabinett, nicht bei den Unternehmensvorständen. Auch das sagt nicht irgendwer, sondern die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), Claudia Plattner. Und keiner widerspricht ihr. Im Gegenteil: Alle Fachleute stimmen ihr zu – ob vom Chaos Computer Club, vom Bundesamt für Verfassungsschutz oder aus der Privatwirtschaft.
Deshalb soll sie gestärkt werden: mit Gesetzgebung wie der deutschen Umsetzung der Netzwerk- und Informationssicherheitsrichtlinie 2 der EU, aber auch mit dem Kritis-Dachgesetz. Beide setzen extrem niedrigschwellig an: Unternehmen und öffentliche Institutionen sollen ab bestimmten Schwellenwerten oder bei bestimmten Tätigkeiten das tun müssen, was von ihnen erwartet werden darf: ihre Systeme zu kennen und sie abzusichern, wenn sie für die Gesellschaft unverzichtbar sind.
Dafür sollen möglichst viele Akteure zusammenarbeiten – und Informationen austauschen. Über ganz konkrete Sicherheitsvorfälle – damit nicht das, was in einem Unternehmen oder einer Behörde passiert ist, auch in anderen passiert. Und damit großflächige Angriffsmuster überhaupt erkannt werden können.
Doch die deutsche Debatte ist vor allem eines: sehr deutsch. Wer soll unter welchen Umständen welche Informationen zu welchem Vorfall erhalten dürfen? Die Nachrichtendienste etwa unterliegen oft den Third-Party-Rules: Informationen von Dritten dürfen sie oft nur als “finished Intelligence” teilen – und auch dann längst nicht mit jedem. Doch im Vergleich zum Rohmaterial fehlen viele Kontextinformationen, die gerade bei Cybersicherheitsvorfällen maßgeblich sind, um größere Muster zu erkennen.
Dabei geht es vor allem um den Methodenschutz, wie BND-Vizepräsident Dag Baehr diese Woche zu Protokoll gab: Natürlich wollten alle Nachrichten- und Geheimdienste der Verbündeten einen Angreifer erwischen. Es gehe aber für diesen speziellen Bereich auch stets um Abstreitbarkeit, “plausible deniability” nach dem Motto: “Die Maus wurde gefangen, aber es war nicht meine Katze.”
Und auch die Deutschen könnten oft nicht die Informationen teilen, die sie gerne teilen würden. Und das sei ein Problem: “Wir können uns das Warten nicht leisten”, so Baehr. “Und die Gefahr steigt exponentiell, während wir uns mit Übermittlungsvorschriften beschäftigen.” Zusammenarbeit setze voraus, dass die Beteiligten dies wollten, könnten und dürften. Mit Blick auf Cybersicherheit bedeute das, sagt der frühere KSK-Kommandeur: “Die klopfen schon die ganze Zeit an unsere Tür, während wir uns damit beschäftigen, ob wir dem anderen erzählen dürfen, dass einer anklopft.”
Doch auch jenseits der klandestinen Gemeinde gibt es Probleme bei der Zusammenarbeit. In Deutschland etwa die Aufteilung zwischen dem Bund und den Ländern: Wer ist wofür zuständig? Wer im Fall der Fälle kompetent? Die geplante Zentralstellenfunktion des Bundesamts für Sicherheit in der Informationstechnik (BSI) für IT-Sicherheitsvorfälle und die des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) für physische Vorfälle stehen seit über einem Jahr im Raum, sind aber nach wie vor nicht Konsens mit allen Bundesländern.
Die Bundesebene spricht beim BSI inzwischen auffällig oft davon, dass die Bonner IT-Sicherheitsbehörde doch nur eine Zentralstellenfunktion wie das BKA erhalten solle – und die meisten Länder finden das eine gute Idee. Doch es bräuchte eine verfassungsändernde Zwei-Drittel-Mehrheit in Bundesrat und Bundestag. Und bei der Länderkammer ist das bislang nicht gesichert. Insbesondere Bayern und Hessen verwahren sich bislang dagegen – beides Länder mit vergleichsweise starken, eigenen Institutionen.
Und so liegt die Hoffnung der Privatwirtschaft derzeit vor allem darin, einen anderen Aspekt zu stärken: die Resilienz der Infrastrukturen und kritischen Anlagen insgesamt. Siegfried Russwurm, Präsident des Bundesverbandes der Deutschen Industrie (BDI), betont, dass es im Endeffekt egal sei, ob eine Anlage wegen eines physischen oder eines Angriffs auf die IT ausfalle: wenn sie ausfalle, sei der Schaden da. Es sei auch unmöglich, 500.000 Kilometer Glasfaser zu schützen, sagt Thomas Tschersich, Chef bei Telekom Security.
Resilienz ist also das Zauberwort: Da IT nicht perfekt geschützt werden kann, geht es neben allen zumutbaren Maßnahmen auch darum, die Ausfallzeiten gering zu halten und Systeme und Anlagen schnellstmöglich wieder zum Arbeiten zu bringen. Doch durchdekliniert ist das noch nicht: Welche Folgen das etwa für Lagerhaltung, Redundanzplanung und Notfall-Verträge mit Konkurrenten im Schadensfall hat, ist bislang kaum Thema. Vorerst obsiegt in der deutschen Sicherheitsdebatte die Resilienz der Debatte über Trennungsgebot und Zuständigkeiten im Föderalismus.
Israel und Pakistan haben nie formelle diplomatische Beziehungen unterhalten. 1947 stimmte Pakistan gegen den Teilungsplan der Vereinten Nationen für Palästina, und bis heute erkennt es den Staat Israel nicht an. Den seit 7. Oktober anhaltenden Krieg zwischen der Terrororganisation Hamas und israelischen Streitkräften bezeichnete das Außenministerium in Islamabad im November als “traurige Erinnerung und direkte Folge von mehr als sieben Jahrzehnten illegaler ausländischer Besatzung, Aggression und Missachtung des Völkerrechts”. Inoffiziell hat das pakistanische Militär in der Vergangenheit die Hamas mit Geldern und Technik unterstützt.
Im aktuellen Nahostkrieg hat sich die pakistanische Regierung darauf verständigt, nicht zu einer weiteren Eskalation des Konflikts beizutragen. Auf dem Gipfel arabischer und islamischer Staaten Mitte November in Riad verurteilte Premierminister Anwaar ul Haq Kakar das Vorgehen Israels als unverhältnismäßig, brutal und aggressiv; systematisch würde gegen Menschenrechte, das Völkerrecht und die Humanität verstoßen. Dafür müsse Israel von der internationalen Gemeinschaft zur Rechenschaft gezogen werden.
Ähnlich äußerte sich der Generalstabschef der Armee, Asim Munir. Er forderte die internationale Gemeinschaft auf, Israels “rechtswidrige Gewaltanwendung” zu beenden. Die “neue Welle der Gewalt in Gaza ist das Ergebnis unverminderter Unterdrückung, anhaltender Menschenrechtsverletzungen und des staatlich geförderten Sakrilegs der Al-Aqsa-Moschee”, sagte er.
Die Äußerungen zeigen, dass die pakistanischen Regierungsstellen darum bemüht sind, die Beziehungen ins westliche Ausland durch unbedachte Formulierungen nicht zu sehr zu gefährden. Jede Bemerkung, die als aktive Befürwortung von Gewalt gegen Israel interpretiert werden könnte, wurde bislang vermieden.
Aus früheren diplomatischen Fehlern gelernt
Diese vorsichtige Haltung kann als Lehre aus jüngsten Konflikten angesehen werden: 2018 etwa erklärte der israelische Premierminister Benjamin Netanjahu mahnend bei einem Besuch in Indien, dass Israel kein Feind Pakistans sei und dass Pakistan sich gegenüber Israel “nicht wie ein Feind verhalten sollte”. Als der damalige pakistanische Premierminister Imran Khan 2022 kurz nach Kriegsbeginn nach Moskau reiste, sorgte das für Empörung in westlichen Hauptstädten und führte zu erheblichen diplomatischen Spannungen.
Bislang hält sich die pakistanische Regierung aus diplomatischer Vorsicht mit schärferer Israel-Kritik zurück, beobachtet aber sehr genau die Annäherung Saudi-Arabiens an das Land. Interessant ist in diesem Zusammenhang eine Äußerung des damaligen pakistanischen Regierungschefs Imran Khan 2020. Nach Unterzeichnung der Abraham-Abkommen zwischen Israel, Bahrein und den Vereinten Arabischen Emiraten (VAE) sagte er, dass die USA und “mindestens ein anderes Land” verstärkten diplomatischen Druck auf seine Regierung ausgeübt hätten, ebenfalls diplomatische Beziehungen zu Israel aufzunehmen.
Zwar gab Khan den Namen des Landes nicht preis, doch kann es sich dabei nur um Saudi-Arabien gehandelt haben. Trotz des Gaza-Kriegs hält Thronfolger Mohammed Bin Salman an dem Ziel fest, mittelfristig sein Verhältnis zu Israel zu normalisieren. Die Regierung in Pakistan wiederum hat wiederholt bekräftigt, keine offiziellen Beziehungen aufzunehmen, ehe nicht ein “lebensfähiges, unabhängiges und zusammenhängendes” Palästina mit Ostjerusalem als Hauptstadt geschaffen und von Israel anerkannt werde.
Auf geheimdienstlicher Ebene kooperierten beide Staaten jedoch schon mehrfach miteinander, während des sowjetisch-afghanischen Kriegs etwa und nach dem Schwarzen September 1970/71 in Jordanien, einem etwa ein Jahr dauernden Bürgerkrieg. In der Türkei nutzten Israel und Pakistan ihre Botschaften und Generalkonsulate zudem, um miteinander zu kommunizieren und Informationen auszutauschen. So hätten pakistanische Geheimdienstmitarbeiter in der Vergangenheit über diesen Weg Hinweise auf einen bevorstehenden Terroranschlag im indischen Mumbai 2008 an den israelischen Mossad weitergeleitet, berichtete die pakistanische Zeitung Dawn zwei Jahre später. Als ein Hauptziel war ein jüdisches Kulturzentrum in der indischen Millionenmetropole genannt worden.
Radikalere Töne finden sich indes in der pakistanischen Öffentlichkeit, vor allem in den sozialen Medien. Menschen äußern dort, ihr Leben für Palästina geben zu wollen. Auch rechte Islamisten in Pakistan haben ihre Unterstützung für die Hamas und deren Angriff auf Israel am 7. Oktober bekundet. In ähnlicher Weise haben sich politische Parteien im ganzen Land geäußert, um sich im Vorfeld der Parlamentswahl im Februar kommenden Jahres zu positionieren.
Wenn aber die Tötung palästinensischer Zivilisten anhält und der Druck auf der Straße wächst, könnte die Regierung von Premierminister Kakar ihre bislang vorsichtige Haltung möglicherweise nicht mehr beibehalten.
Mit dem NIS-2-Umsetzungsgesetz (NIS-2-UmsuCG) und dem Kritis-Dachgesetz werden derzeit zwei Richtlinien der Europäischen Union – die NIS-2 Richtlinie und die CER-Richtlinie – in nationales Recht umgesetzt. Als Kritische Infrastrukturen definiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) “Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.”
Die neuen Gesetze sollen den digitalen und physischen Schutz sowie die Widerstandsfähigkeit der Kritischen Infrastruktur verbessern und sichern. Mit den neuen Gesetzen soll vor allem die Funktionsfähigkeit des Binnenmarktes aufrechterhalten werden. Um die bloße Versorgungssicherheit geht es dabei nicht mehr.
So werden Mindestverpflichtungen für Betreiber Kritischer Infrastrukturen eingeführt oder ausgebaut, um das Risiko des Ausfalles oder der Störung der Einrichtungen zu minimieren. Die Zahl der Sektoren nimmt stetig zu, ohne eine Priorisierung zwischen den unterschiedlichen Versorgungsarten. Was besonders wichtig für die Grundversorgung der Bevölkerung ist, wird nicht aufgeführt. Vielmehr stehen die Regelungsziele sinnbildlich für einen sich immer weiter vom Grundgedanken der Krisenvorsorge entfernenden Regulierungsansatz.
Der Anwendungsbereich wird stetig erweitert und die Anzahl der Sektoren im Vergleich zu den Vorgängerregulierungen erhöht. Mittlerweile sind es 18 Sektoren in der NIS-2 Richtlinie und elf Sektoren in der CER-Richtlinie. Dies führt in der Umsetzung dazu, dass viel mehr Betreiber kritischer Einrichtungen die Anforderungen erfüllen müssen.
Zudem wird es künftig neben dem Anlagenbezug einen Bezug auf die Einrichtung geben, sodass je nach Umsatz und Mitarbeiterzahl sogar das gesamte Unternehmen von den Verpflichtungen betroffen sein kann. Der Beratungsaufwand vor allem bei den vielen kleinen und mittelständischen Betreibern wächst enorm an.
Aufgrund des Fachkräftemangels auch im IT-Dienstleistungssektor dürfte hier ein Kraftakt erforderlich sein, um eine ordnungsgemäße Umsetzung der Mindestverpflichtungen zu gewährleisten. In Deutschland geht man derzeit davon aus, dass künftig rund 29.000 Betriebe und öffentliche Einrichtungen der NIS-2 Richtlinie unterliegen. Bisher waren es circa 4.500 Betreiber. So mangelt es derzeit an Ressourcen im operativen Bereich.
Zudem sehen beide Richtlinien jeweils die Benennung einer nationalen Meldebehörde vor. In Deutschland wird es mit dem Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe zwei unterschiedliche Bundesoberbehörden als Meldestellen geben. Überlagernde Zuständigkeiten, uneinheitliche Informationsstände und Schwierigkeiten bei europäischen Kooperationen sind vorprogrammiert.
Dazu kommt, dass bei der Umsetzung der Richtlinien in nationales Recht lediglich eine Mindestharmonisierung vorgesehen ist, können die Mitgliedstaaten im Rahmen der Umsetzung des digitalen und physischen Schutzes jeweils Regelungen unterschiedlicher Reichweite erlassen. Es droht ein uneinheitliches Schutzniveau in der Union.
Der Ansatz, einzelne Einrichtungen zu schützen, führt nicht zu einer nachhaltigen Sicherung der Grundversorgung im Krisen- oder Katastrophenfall. Vielmehr braucht es künftig eine Verordnung zur europäischen Resilienz, um ein einheitliches Schutzniveau zu verwirklichen. Durch die weiter zunehmende Vernetzung der Prozesse und Einrichtungen sowie durch mögliche Spill-Over Effekte könnte der Schutz einzelner Entitäten konterkariert werden, oder gar leerlaufen.
Schließlich kann das am schwächsten geschützte Glied in der Kette Auswirkungen auf das Schutzniveau der anderen haben. Entscheidend ist, welche Teil- und Kernbereiche der Versorgung besonders geschützt werden müssen. Diese müssen dann priorisiert und deren Ausfall kompensiert werden. Eine solche Priorisierung fehlt bislang ebenso wie grenzüberschreitende Lösungen innerhalb der EU zur Minderung der Auswirkungen bei Ausfällen oder von Störungsschäden und zur schnellen Wiederherstellung der Funktionsfähigkeit der Versorgung.
Die Verordnung kann darüber hinaus Verantwortungsbereiche aufeinander abgestimmt regeln. Sie kann nicht nur Rechte und Pflichten von Betreibern der Infrastruktur beinhalten, sondern zugleich auch diese von staatlichen Akteuren und der Bevölkerung mit umfassen, um die Resilienz zu steigern und eine Krisenversorgung zu sichern.
Zugleich würde nur eine Meldebehörde pro Mitgliedstaat, vor allem die Zusammenarbeit unter den Ländern und mit der EU vereinfachen. Ein europaweites und flächendeckendes Monitoring der Versorgung – wie es das bereits in Ansätzen für die Stromversorgung gibt – sollte langfristig das Ziel sein, um Ausfälle oder Störungen frühzeitig zu erfassen und gegebenenfalls regional, aber auch länderübergreifend in der Europäischen Union auffangen zu können.
Schließlich ist die Grundversorgung erst recht im Krisenfall das, was die Kritische Infrastruktur ausmacht. Weshalb sollte sie dann nicht auch europäisch gesichert werden können?
Ferdinand Gehringer ist Referent für Innere Sicherheit und Cybersicherheit bei der Konrad-Adenauer-Stiftung.
Wenn die Stimme aus dem Off sagt: “Das ist die russische Erde”, dann prügeln alle auf dieser Erde aufeinander ein – jede und jeder gegen jede und jeden. Die russische Erde ist in diesem Fall die Bühne im Ballhaus Prinzenallee in Berlin. Dort spielen fünf Darstellende das Stück “Ich bin’s nicht, Wladimir Putin ist es gewesen”. Es geht um den russischen Krieg gegen die Ukraine und die individuelle Verantwortung für diesen Krieg. Gibt es die? Das wird zunächst bestritten. Lässt sich die persönliche Verantwortung negieren? Mit der Zeit immer schwieriger. Immer wieder stehen die drei Männer und zwei Frauen, die in Dialogen und Monologen mit anderen und mit sich streiten, vor einer persönliche Katharsis. Und setzt sie auch ein? In Russland selbst ist nach fast 650 Tagen Krieg nichts davon zu merken. Zum vorerst letzten Mal ist das Theaterstück, das mit dem Titel auf die berühmte Produktion “Ich bin’s nicht, Adolf Hitler ist es gewesen” anspielt, am 10. Dezember um 19 Uhr zu sehen. Mehr Informationen und Karten hier.
