BSI im Föderalismus : Kooperation ist gut, eine Zentralstelle wäre besser

Der IT-Ausfall bei rund 70 Kommunen nach einem Ransomware-Angriff auf die Südwestfalen-IT 2023 und der aktuelle Datendiebstahl im Berliner Landesnetz zeigen: Cyberangriffe können schon innerhalb kurzer Zeit verheerende Schäden anrichten. Trotz der verschärften Bedrohungslage nimmt die Bundesregierung eine geplante Verfassungsänderung zur Stärkung des BSI zurück. Statt die Behörde über eine Grundgesetzänderung zu einer echten Zentralstelle für IT-Sicherheit in Deutschland auszubauen, setzt sie auf eine verstärkte Zusammenarbeit mit den Bundesländern.

Reicht das in diesen Zeiten aus? Aus Sicherheitsperspektive wäre eine zentrale, durchgriffsfähige Instanz wünschenswert gewesen, denn Angreifer richten sich nicht nach Länderzuständigkeiten. Zugleich muss jedoch eine Grundgesetzänderung, die Kompetenzen zwischen Bund und Ländern neu ordnet, politisch abgewogen werden. Der eingeschlagene Weg über Kooperationen ist immerhin ein echter Schritt nach vorn, wenn auch ein zaghafter, der einige Fragen und Herausforderungen offenlässt.

Eine Zentralstelle hätte viele Vorteile

Das BSI als bundesweite Zentralstelle hätte proaktives Handeln ohne vorheriges Amtshilfeersuchen, ein einheitliches Lagebild und verbindliche Standards ermöglicht. Der bestehende Rahmen leistet das nur teilweise über NIS-2-Befugnisse, Vereinbarungen und gemeinsame Gremien. Eine entscheidende Grenze bleibt: Hilfe erfolgt lediglich auf Anfrage und auf Basis freiwilliger, bilateraler Vereinbarungen, die nicht einmal mit allen 16, sondern nur mit 14 Ländern bestehen.

Zudem befinden sich einige Punkte noch in der Planung und können an verschiedenen Positionen einzelner Länder gegenüber dem Bund scheitern. Aus Sicherheitsperspektive sollten die Regelungen aber nicht unterschiedlich ausfallen, sondern möglichst einheitlich zwischen jedem Land und dem Bund abgeschlossen werden.

Die bestehenden Befugnisse des BSI bleiben erhalten und sollen weiter ausgebaut werden, was gut ist. Jedoch ohne eine bundesweit einheitliche Regelung kann es im Ernstfall beim kooperativen Modell vom jeweiligen Bundesland abhängen, wie schnell die Unterstützung des BSI greift. Das bedeutet im Ernstfall, dass Unterstützung später oder ungleichmäßig erfolgen kann.

Verbessern Regulierungen die Sicherheit?

Die Diskussion ist zum Teil aber ohnehin akademisch, da Regulierung allein keine IT-Vorfälle vermeiden kann. Sie kann dazu beitragen, gewisse Mindeststandards einzuhalten sowie geeignete Kommunikations-, Abwehr- und Wiederherstellungsprozesse aufzubauen. Gerade hier hätte eine zentrale Durchsetzung entsprechender Richtlinien durch das BSI die Verbindlichkeit und damit auch die Wirksamkeit erhöht.

Die Kooperationsvereinbarungen sind dagegen der gewählte politische Weg, der ebenfalls einen sinnvollen, funktionierenden Ansatz unterstützen kann. Doch Vereinbarungen mit 14 von 16 Ländern bedeuten Lücken. Dabei entscheidet in der Cybersecurity das schwächste Glied über die Sicherheit des Gesamtsystems. Zudem sind freiwillige, unterschiedliche Vereinbarungen im länderübergreifenden Ernstfall fragiler als eine einheitliche Grundlage. So sind sie ein tragfähiger Anfang, aber noch nicht der optimale Zielzustand.

Ein antragsgebundener, reaktiver Prozess ist außerdem strukturell langsamer als die heutige Angriffsdynamik. Künstliche Intelligenz verkürzt die Zeit von der Kenntnis einer Sicherheitslücke bis zum Angriff auf wenige Stunden und den Zeitraum vom Erstzugriff bis zum Schaden auf Minuten. Zeitgemäßer ist, was der bestehende Rahmen auch künftig anstrebt: ein gemeinsames Lagebild und vorab geübte Abläufe. Ob freiwillige Kooperationen dafür schnell genug greifen, wird die Praxis zeigen. Viel wichtiger als alle diese Prozesse ist aber, dass Behörden und Unternehmen die Grundlagen zur Selbsthilfe nach einer Attacke legen. Wenn sie sich nicht entsprechend vorbereiten, kann das BSI auch nicht helfen.

Wo ist die eigentliche Schwachstelle?

Die genannten Fälle Südwestfalen-IT und Berlin zeigen dabei vergleichbare Muster: Geteilte Infrastruktur wird zur entscheidenden Schwachstelle und die Erkennung erfolgt zu spät. Zum Beispiel geschah der Datenabfluss in Berlin vom 7. bis 12. August, die Netztrennung erst am 14. August. Geteilte Infrastruktur braucht frühzeitige Erkennung und eingeübte Reaktionsketten. Der Fall Südwestfalen zeigt: Ohne solche Vorkehrungen reicht auch bessere Zusammenarbeit nicht aus.

Heute dauern die Prozessketten von der Vorfallerkennung über die interne Eskalation bis zum formellen Hilfegesuch an das BSI oft Stunden bis Tage. Ransomware wirkt dagegen in Minuten bis Stunden. Dieses Missverhältnis ist der entscheidende Risikofaktor, unabhängig vom Organisationsmodell. Behörden und Unternehmen müssen sich daher mit Vorsorge beschäftigen. Denn heute lautet die Frage nicht mehr, ob ein Angriff erfolgreich ist, sondern wann. Daher sollten sich Organisationen auf den Ernstfall vorbereiten und einüben, was geschehen soll, nachdem sie angegriffen wurden. Deshalb muss reine Abwehr um Cyberresilienz ergänzt werden: Entscheidend ist, wie schnell Organisationen nach einem Angriff wieder handlungsfähig sind.

Besser vorbereitet, schneller handlungsfähig

Dazu ist aus technischer Sicht zu klären, wie und in welcher Form Forensik, Bereinigung und Wiederherstellung durchzuführen sind und wo kritische Informationen so abgelegt werden, dass ein Angreifer sie weder löschen noch manipulieren kann. Diese Prozesse sollten immer wieder unter der Annahme getestet werden, dass kein System im Rechenzentrum den Angriff übersteht. Ein besonderes Augenmerk gilt hier der Authentifzierungsinfrastruktur, da diese bei nahezu allen Angriffen kompromittiert oder außer Betrieb genommen wird und ohne diese ein Wiederanlauf der IT-Systeme unmöglich ist.

Gefordert sind frühzeitige Detektion inklusive Anomalieerkennung bis zur Datenebene, unveränderliche und vom Produktivnetz isolierte Backups, eine getestete und schnelle Wiederherstellung sowie Segmentierung, damit ein kompromittiertes Netz nicht die gesamte Infrastruktur lahmlegt. Vorab muss feststehen, wer den Krisenstab aktiviert, die Netztrennung veranlasst, nach außen kommuniziert und BSI sowie Ermittlungsbehörden einbindet. Denn ein Notfallplan, der erstmals im Ernstfall getestet wird, ist keiner.

Die Maßnahmen sind dabei unabhängig von politischen Entscheidungen oder Compliance-Vorgaben umzusetzen. Denn keine Regulierung entbindet Behörden und Unternehmen davon, Angriffe abzuwehren und selbst wiederherstellungsfähig zu sein. Sich blind auf das BSI zu verlassen, ist jedenfalls keine Sicherheitsmaßnahme.

Christoph Linden ist Director Solution Architecture, Europe bei Cohesity und Experte für Cyberresilienz, Datensicherheit und IT-Modernisierung.