IT-Sicherheit: Jede sechste Stelle für Kampf gegen Cyberattacken in Bundesministerien unbesetzt

Abgeschaltete Webseiten, geleakte Geheiminformationen, Sperrung von wichtigen Zugängen: Cyberattacken haben die Macht, Kriege zu beeinflussen, Wahlen zu manipulieren, Existenzen zu zerstören. Die Gefahr ist real – auch in Deutschland: Jeden Tag versuchen Cyberkriminelle, an sensible Daten zu gelangen oder wichtige Systeme abzuschalten. Aus diesem Grund hat die Bundesregierung das Budget für Cybersicherheit zuletzt massiv erhöht. Hatten die Ministerien 2020 noch rund 2800 Stellen für IT-Sicherheit, so sind es 2022 mehr als 3600. Das Problem dabei: Mehr als 600 dieser Fachkräfte fehlen, die Stellen sind unbesetzt – so lautet die Antwort der Regierung auf Anfrage der Linken-Abgeordneten Anke Domscheit-Berg.

Gegenüber unserer Redaktion sagt die Politikerin: „Die Gefahr durch Cyberangriffe steigt von Jahr zu Jahr, immer wieder veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik (BSI) neue Rekordzahlen zu digitalen Angriffen. Täglich gibt es mehr als 300.000 neue Schadsoftware-Varianten. In Deutschland haben Angriffe Krankenhäuser, Universitäten, Kommunen und ganze Landkreise lahmgelegt. Ich kann nicht verstehen, dass die Bundesregierung das Thema nicht höher priorisiert.“

Die Regierung riskiere, dass ihre Behörden und Ministerien mitten in einer internationalen Krise zu einem Angriffsziel werden. Dabei warnte schon vor zwei Jahren der Verfassungsschutzbericht gerade vor russischen Hackern: „Sie richten sich gegen Regierungsstellen, Streitkräfte, Parlamente.“

„Der Anteil unbesetzter IT-Sicherheitsstellen ist immer noch kritisch. Nur drei Ministerien haben die Lücken geschlossen“, berichtet die Linken-Politikerin. Das Gesundheitsministerium habe seit 2020 durchgehend zwischen 60 und 80 Prozent dieser Stellen nicht besetzt. Dabei müsse dort über Projekte mit hochsensiblen Daten entschieden werden. Es sei ebenfalls nicht nachvollziehbar, warum ausgerechnet das Ministerium für Digitales und Verkehr in den vergangenen zwölf Monaten jede fünfte Stelle abgebaut habe: „Es ist zuständig für kritische Themen wie digitale Identitäten und die digitale Infrastruktur. Wenn man nicht genug Sicherheitsexpertise im Hause hat, wie will man diese Aufgaben sicher umsetzen?“

Dass gerade die russischen Hacker ihre Ressourcen mit aller Entschiedenheit einsetzen, ist auch im laufenden Krieg Putins in der Ukraine zu spüren. „Putin verfolgt eine hybride Kriegsführung, bei der physische Angriffe durch Cyberattacken flankiert werden“, erklärt Dominik Merli, Professor für IT-Sicherheit und Leiter des Instituts für innovative Sicherheit der Hochschule Augsburg. In den vergangenen Tagen seien beispielsweise ukrainische Behördenwebseiten wie die des Innen-, Außen- und Verteidigungsministeriums aufgrund von Angriffen nicht mehr erreichbar gewesen. Somit hätten sich ukrainische Bürgerinnen und Bürger nicht mehr über diese Kanäle informieren können. Zudem hätten Expertinnen und Experten auf hunderten ukrainischen Rechnern eine Schadsoftware gefunden, die vor Kurzem aktiviert worden sei und begonnen habe, Daten zu löschen. Analysen zeigten, dass diese Malware bereits vor Monaten für diesen Zweck entwickelt worden sei.

Für Domscheit-Berg ist das keine Überraschung: „Dieser erste offen ausgetragene Cyberkrieg hat eine völlig neue Dimension erreicht und ich fürchte, er wird nicht begrenzt sein auf ukrainische und russische Einrichtungen. Die russische Seite hat ihn offensichtlich länger vorbereitet und dafür klassische Ransomware-Taktiken eingesetzt, bei denen Schadsoftware eingeschleust und über längere Zeit zum Ausspionieren der IT-Systeme und ihrer Daten genutzt, aber erst für spätere Angriffe weiter aktiviert wird.“

Die ukrainische Seite habe Freiwillige aufgerufen, gezielt Attacken gegen russische Institutionen – von Medien bis zu Behörden – durchzuführen. Sie finde diese Entwicklung bedrohlich, so Domscheit-Berg. Cyberangriffe ließen sich schlecht steuern und ethische Grenzen würden oft nicht beachtet. „Selbst wenn man der Ukraine bei der Selbstverteidigung helfen möchte, macht es keinen Sinn, kritische Infrastrukturen in Russland lahmzulegen, die am Ende die Bevölkerung treffen.“

Weil es solche Angriffe aber auch auf deutsche Einrichtungen geben könne, brauche Deutschland vor allem eine Stärkung der defensiven Fähigkeiten im zivilen Bereich. "Leider beobachte ich seit Jahren eine Konzentration von IT-Sicherheitsfachkräften im militärischen Bereich. In 2022 sind schon mehr als 40 Prozent all dieser Stellen im Verteidigungsministerium angesiedelt, der Anteil lag vor zwei Jahren erst bei 24 Prozent. Mehr als 808 Stellen hat das Ministerium in dieser Zeit zusätzlich geschaffen, das ist mehr als eine Verdopplung. Es hat nun dreimal so viele IT-Sicherheitsstellen wie 13 andere Ministerien zusammengenommen."