Das neue Zivilschutzkonzept und meine persönliche Vorsorge

Das “neue” Zivilschutzkonzept hat die Medien in den vergangenen Wochen sehr bewegt. Leider ist die Kommunikation des Konzepts völlig verunglückt, weil Auszüge über die Presse vorab veröffentlicht wurden. Gerade diese vorab veröffentlichten Auszüge über die private Vorsorge, die unseren Hamster ins Rampenlicht rückten, sind der mit Abstand harmlose Teil des Konzepts. Die Empfehlungen für die persönliche Vorsorge liegen seit vielen Jahren vom BBK vor. Vielleicht ist es ein positiver Aspekt des Medien-Hype, dass diese Notfallvorsorge wieder in das Bewusstsein rückt. Einige Anbieter von Prepper-Artikeln freuen sich gerade über einen temporären Nachfrageboom. Ich gehe davon aus, dass die Konzeption Zivile Verteidigung von den Medienvertretern überwiegend gar nicht gelesen oder in der Tragweite nicht verstanden wurde. Der Wehrdienst ist rechtlich nur ausgesetzt, im Verteidigungsfall kann der Staat sehr weitreichend in die Abläufe der kritischen Infrastrukturen eingreifen und Transport- sowie Produktionsmittel beschlagnahmen genau so wie Lebensmittel und deren Herstellung sowie Distribution (Notstandsverfassung 115a bis 115l GG). Interessant ist eher der Schwenk von rein militärischen Angriffsszenarien, die die zivile Verteidigung bislang beherrschten zu “hybriden Bedrohungen” für die kritischen Infrastrukturen. Damit gemeint sind unter anderem auch Cyber-Attacken und der Ausfall oder die Störung von kritischen Infrastrukturen. Beim Studium des Konzepts wird man feststellen, dass sich die Bundesregierung vielen Aufgaben stellt, die in der Zukunft noch konzipiert und umsetzt werden müssen. Viele Sätze beginnen mit “Der Bund entwickelt ein Konzept …”. Der Handlungsbedarf des Bundes ist in diesem Konzept zumindest erkannt und benannt, auch wenn noch vieles zu  konkretisieren und umzusetzen ist. Auch die Betreiber kritischer Infrastrukturen werden deutlich adressiert:

“Jeder Betreiber soll in seinem Zuständigkeitsbereich freiwillig und eigeninitiativ Verantwortung für ein angemessenes Sicherheitsniveau übernehmen. Der Staat erteilt den Betreibern nach Einschätzung der Erforderlichkeit konkrete Auflagen zur Verbesserung der Resilienz und Sicherheit der Kritischen Infrastrukturen. Eine „Nationale Strategie zum Schutz Kritischer Infrastrukturen“ fasst die Zielvorstellungen und den politisch-strategischen Ansatz des Bundes auf diesem Politikfeld zusammen. In einem „Rahmenkonzept Risiko- und Krisenmanagement Betreiber Kritischer Infrastrukturen“ werden Anforderungen an das Erstellen betrieblicher Risikoanalysen und die Ableitung von Sicherheitsmaßnahmen sowie zum Auf- bzw. Ausbau betrieblicher Krisenmanagementstrukturen formuliert”. Neben dem IT-Sicherheitsgesetz können auf die Betreiber also weitere Anforderungen im Risiko- und Krisenmanagement zukommen.

Neben dieser Initiative des Bundes ist die Überwindung der “Friedensdividende” auch bei Ländern und Gemeinden spürbar. Wurden vor Jahren flächendeckend die Sirenen zur Warnung der Bevölkerung demontiert, da auf elektronische Wege gesetzt wurde, verkünden Gemeinden jetzt stolz den Bau von Hochleistungssirenen. Daneben finden die elektronischen Warnsysteme “Katwarn” und “Nina“, gerade nach dem Attentat in München, zunehmend Verbreitung bei Gemeinden und in der Bevölkerung.

Die persönliche Vorsorge, in anderen Ländern eine Selbstverständlichkeit, wird hier noch mit Unverständnis und Belustigung (“Hamster”) aufgenommen. Zu sehr fehlt hier noch das Risikobewusstein bei den Bürgern und zu ausgeprägt ist das Verlassen auf Bund und Betreiber kritischer Infrastrukturen. Dabei ist die Anschaffung von Kerzen / Teelichte, einem batteriebetriebenen Radio, Batterien und Konserven keine große Sache. Alle Kollegen, die sich mit diesen Themen intensiver beschäftigen, betreiben die Vorsorge nach meiner Erfahrung berufsbedingt etwas intensiver – ohne gleich zur Gruppe der Prepper zu gehören. So findet sich in meiner Garage ein Notstromaggregat und in einem Karton schnell griffbereit Taschenlampe, Batterien, Kerzen, Zündhölzer, ein Kurbelradio, Battery-Packs mit Solarpanel zum Laden sowie Micropur-Tabletten für die Wasserentkeimung. Alles Dinge, die auch mal in den Camping-Urlaub oder die Motorradtour mitgehen. Vorsorge ist kein großer Aufwand und bei einem Stromausfall ist romantisches Kerzenlicht ganz angenehm und nützlich.

Bei Kerzenlicht empfehle ich dann die folgende Lektüre:

http://amzn.to/2cj2iqU

Hacker follow the money – to Swift

Hacker follow the money, diesem betriebswirtschaftlichem Gesetz folgend, mussten Hacker eines Tages bei Swift landen. Dies scheint nun geschehen zu sein. Im Zuge der Ermittlungen über die erfolgreiche Cyber-Attacke auf die Zentralbank von Bangladesch bei der 81 Millionen US-Dollar illegal transferiert wurden, kamen die Softwaremanipulationen in der Client-Software von Swift ans Licht. Die Täter hatten versucht, ihre betrügerischen Finanztransfers durch die Manipulation der Swift-Software zu tarnen. Am Montag hatte Swift in einem Statement die angeschlossen Finanzdienstleister gewarnt und ein Update der Client-Software angekündigt. Das Update hat den Status “mandatory” und muss bis 12. Mai 2016 installiert sein. Rund 11.000 Finanzdienstleister wickeln täglich Finanzgeschäfte in Milliardenhöhe über Swift ab. Swift ist eine Genossenschaft, die 3.000 Finanzdienstleistern gehört. Die britische Unternehmensberatung BAE Systems hat die Cyber-Attacke auf Swift untersucht und kam zu dem Ergebnis, dass die Hacker die Alliance Access Server von Swift manipuliert haben. Swift geht davon aus, dass die Hacker über zahlreiche gültige Zugangskennwörter verfügen, über die sie Zugang zu dem Nachrichtensystem erhalten und Swift-Mitteilungen autorisieren können.

Hacker erpressten drei griechische Banken

Drei griechische Banken wurden von der Hackergruppe “Armada Collective” erpresst. Die Webseiten der Banken wurden zunächst mit einer DDoS-Attacke angegriffen. Danach verlangten die Hacker sieben Millionen US Dollar in Bitcoins von jedem Institut, andernfalls würden die Hacker die Webseiten der Banken mit einer erneuten DDoS-Attacke lahmlegen. Die Banken weigerten sich zu bezahlen, kooperierten mit den griechischen Ermittlungsbehörden und härteten ihre Systeme gegen die folgenden Angriffe. Die folgenden Attacken der Hacker konnten so erfolgreich abgewehrt werden.

Quelle: Finextra

Dies ist mittlerweile ein “klassisches” Szenario, auf das sich jedes Unternehmen in der IT, dem BCM und Krisenmanagement vorbereiten sollte. Dieses Szenario kann jedes Unternehmen unabhängig von Größe und Branche treffen. Gerade kleine und mittelständische Unternehmen sind besonders gefährdet, da die technischen und organisatorischen Abwehrmaßnahmen sowie oftmals auch das erforderliche Know How zum Umgang mit diesen Bedrohungsszenarien nicht vorhanden sind. Es werden dann ein paar tausend Euro bezahlt, um größere Schäden abzuwenden. Für die Hacker ist dies daher ein sehr lohnenswertes Geschäftsmodell, wie in diesem Beitrag der BCM-News bereits dargestellt.

Aktuelles zum IT-Sicherheitsgesetz

Am 25.07.2015 ist das IT-Sicherheitsgesetz in Kraft getreten. Bereits die ersten Entwürfe des Gesetzes wurden heftigst diskutiert. Die Spannungskurve ist nach der Verabschiedung allerdings nicht abgesunken, da viele Fragen erst durch Rechtsverordnungen geklärt und festgelegt werden müssen. Hierzu gehören die betroffenen Unternehmen und Dienstleistungen wie auch die konkreten Anforderungen aus dem Gesetz. Dass das IT-Sicherheitsgesetz keine langweilige und trockene Angelegenheit wird, zeigte die Veranstaltung der Gesellschaft für Informatik zu diesem Thema am vergangenen Freitag in Frankfurt. Trotz Streiks bei der Lufthansa war die Veranstaltung sehr gut besucht. Den Gastgeber Bahn hat dies natürlich auch sehr gefreut ;-). Weiterlesen…

Bundeskabinett beschließt IT-Sicherheitsgesetz

Das Bundeskabinett hat heute den Entwurf des Sicherheitsgesetzes verabschiedet. Damit kommt die Meldepflicht für IT-Sicherheitsvorfälle und das Bundesamt für Sicherheit in der Informationstechnik BSI erhält umfassende Kompetenzen und Kapazitäten als Zentralstelle für die IT-Sicherheit. Welche Unternehmen und Organisationen als Betreiber kritischer Infrastrukturen dem neuen IT-Sicherheitsgesetz unterliegen, wird eine spannende Frage sein, die Anfang des neuen Jahres in konkreten Verordnungen ausgestaltet werden wird. Die Bundesregierung geht aktuell von rund 2.000 Betreibern der kritischen Infrastruktur aus. Auch die Hersteller von IT-Systemen unterliegen zukünftig der Aufsichtspflicht des BSI. Der Gesetzesenturf war heftig umstritten. Der Industrie ging er mit den Meldepflichten zu weit, während Sicherheitsfachleute befürchten, durch die anonymisierten Meldungen kein vollständiges Lagebild zu erhalten. Die Praxis wird bald zeigen, ob sich der Aufwand für die Unternehmen in einem konkreten Sicherheitsgewinn auszahlt.

Was das neue IT-Sicherheitsgesetz für das Business Continuity Management bedeutet

Das Bundesministerium des Innern hat vor kurzem den Referentenentwurf zum IT-Sicherheitsgesetz („Entwurf eines Gesetzes zur Erhöhung der Sicherheit informationstechnischer Systeme“) vorgelegt. Ziel des Gesetzes ist „eine signifikante Verbesserung der Sicherheit informationstechnischer Systeme in Deutschland“. Besondere Bedeutung misst der Entwurf des IT-Sicherheitsgesetzes dem Schutz der IT-Systeme Kritischer Infrastrukturen zu. Weiterlesen…

Meldepflicht für Cyber-Angriffe soll kommen

Laut einer Meldung in der FAZ in der heutigen Print-Ausgabe sollen sich Union und SPD in den laufenden Koalitionsverhandlungen auf eine Meldepflicht für Cyber-Angriffe durch Unternehmen der kritischen Infrastrukturen verständigt haben.

Diese Meldepflicht ist seit einiger Zeit in der Diskussion. Unternehmensverbände haben sich bisher erfolgreich gegen diese Verpflichtung gewehrt. Insbesondere das Innenministerium hat sich für diese Meldepflicht eingesetzt.

Die Meldestrukturen für die KRITIS-Unternehmen sind etabliert und werden in den zweijährigen KRITIS-Übungen auch getestet. Bislang erfolgen Meldungen über Cyber-Attacken an das Bundesamt für Sicherheit in der Informationstechnik BSI noch auf freiwilliger Basis, doch wird dies offensichtlich nicht intensiv genutzt. Im BSI wurde im Februar 2011 das Nationale Cyber-Abwehrzentrum eingerichtet, um Abwehrmaßnahmen durch Cyber-Angriffe zentral erkennen und Maßnahmen koordinieren zu können.

In den USA und Großbritannien gab es große Übungen im Finanzdienstleistungsbereich, um sich auf einen solchen Anschlag vorzubereiten.

TV-Tipp: Sendereihe “Fehler im System” zur Verwundbarkeit kritischer Infrastrukturen

In einer vierteiligen Sendereihe unter dem Titel “Fehler im System” zeigt das deutsche Anleger Fernsehen DAF die Folgen eines Angriffs auf kritische Infrastrukturen, wie Stromnetze und Banking.

Die erste Episode startet am heutigen Montag 05.08.2013 um 20:15 Uhr mit dem Thema “Hackerangriff”.

Das DAF kann im Internet und über das TV-Programm empfangen werden.

Innenministerium plant Gesetz zur Meldung von IT-Sicherheitsvorfällen

Laut einer aktuellen Meldung des Handelsblatts plant Innenminister Friedrich ein Gesetz, das die Betreiber Kritischer Infrastrukturen KRITIS dazu verpflichtet, “erhebliche IT-Sicherheitsvorfälle” zu melden. Daneben soll die Pflicht zur Erfüllung von IT-Sicherheit der Betreiber kritischer Infrastrukturen gesetzlich geregelt werden.

Der Umsetzungsplan KRITIS des Nationalen Plans zum Schutz der Informationsinfrastrukturen nimmt damit konkrete Gestalt an. Es war bereits abzusehen, dass Betreiber kritischer Infrastrukturen stärker in die Pflicht genommen werden. Ein Gesetz zur Meldepflicht würde diesen Prozess deutlich beschleunigen und die Kritis-Betreiber konkret in die Pflicht nehmen. BCM-News hatte hierüber im Oktober 2011 bereits berichtet.

Studie zur Versorgungssicherheit mit Lebensmitteln des BBK

Die Bundesanstalt für Landwirtschaft und Ernährung (BLE) und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) haben eine Studie zur Versorgungssicherheit mit Lebensmitteln veröffentlicht. Die gemeinsame Studie ist als Band 9 in der BBK-Schriftenreihe „Wissenschaftsforum“ erschienen. Untersucht wurden Gefährdungen und Rah-menbedingungen des Ernährungssektors sowie Aspekte des Risiko- und Krisenmanagements.

Öl-Industrie ist zunehmend Opfer von Cyber-Attacken

Die Öl-Industrie ist nach Angaben eines IT-Managers von Shell zunehmenden Cyber-Attacken ausgesetzt. Die Hintergründe für die Angriffe auf die IT-Systeme der Öl-Industrie sind sowohl kommerzieller als auch krimineller Natur. Sollten die Hacker tatsächlich die Kontrolle über Systeme in der Ölförderung, wie Pumpen und Ventile bekommen, wären die Konsequenzen fatal. Durch Manipulationen können die Öl-Unternehmen erpresst werden und große Umwelt- und Personenschäden verursacht werden. Stuxnet und Duqu sind Beispiele für Viren, die professionell entwickelt wurden, um industrielle Steuerungsanlagen zu manipulieren. Hacker waren bereits in der Lage, in die Steuerungssysteme für US-Drohnen einzudringen. Ein vermeintlicher Hackerangriff auf ein Wasserwerk in den USA hat sich als Fehlalarm erwiesen. Allerdings ist es nur eine Frage der Zeit, bis Hacker in die Systeme kritischer Infrastrukturen eindringen. Besonders gefährdet ist hierbei das Stromnetz. Vor diesem Hintergrund wurde bei der diesjährigen Lükex das Szenario einer großflächigen Cyber-Attacke von Bund, Ländern und Unternehmen der kritischen Infrastrukturen geübt. Zudem werden die KRITIS-Unternehmen auf Veranlassung des Cyber Sicherheitsrats intensiver auf Vorkehrungen gegenüber einer Cyber-Attacke geprüft.

LÜKEX 2011 startet in Kürze

Am 30.11.2011 startet die 5. strategische Krisenmanagement-Übung von Bund und Ländern LÜKEX 2011 ( Länderübergreifende Krisenmanagement-Übung/EXercise). Das Szenario sieht dieses Jahr eine Cyber-Attacke gegen kritische Infrastrukturen vor. Bund, Länder und Unternehmen der kritischen Infrastrukturen üben gemeinsam an zwei Tagen im Rahmen eines gemeinsamen Drehbuchs. Damit soll die Zusammenarbeit zwischen den Organisationen gestärkt werden. Bereits die Vorbereitungen auf die Übung haben durch das Kennenlernen und Zusammenarbeiten einiges bewirkt. Die Übung wird diesen Effekt noch verstärken. Zwei lange spannende Tage warten auf uns.

BBK und BSI bieten im Rahmen dieser Veranstaltung eine Pressekonferenz und begleitende Foren an.