Die Meldungen über Cyber-Angriffe häufen sich. So gab es im Jahr 2015 Berichte aus den USA, denen zufolge seit Anfang der 2000er-Jahre ein Dutzend Cyber-Angriffe auf Kontrollzentren von Energieversorgern erfolgreich gewesen sein sollen. Anfang 2016 war in den Zeitungen zu lesen, dass ein Stromausfall in der Ukraine durch einen Cyber-
Angriff ausgelöst worden sein könnte. Und im Jahr 2015 warnte Günther Oettinger, damaliger EU-Kommissar für die digitale Wirtschaft und Gesellschaft, davor, dass Cyber-Attacken auf das Stromnetz „auch von islamistischen Terroristen“ nicht auszuschließen seien.
Es scheint, als käme die Wirklichkeit der Fiktion im Roman Blackout immer näher. Damit dies nicht geschieht und auch, weil es in Europa trotz einiger Vorfälle wie in der Ukraine nach wie vor keine einheitliche Antwort auf Cyber-Krisen gibt, besteht Handlungsbedarf für die involvierten Akteure. Aufgrund von laxen Sicherheitsbestimmungen, Stromausfällen, fehlendem Knowhow oder Problembewusstsein aber auch aufgrund gesetzlicher Regelungen steht Cyber-Sicherheit in der Energiewirtschaft auf der politischen Agenda.
Chancen und Achillesferse der Digitalisierung
Da die Energieversorgung durch eine immer dezentralere, kleinteiligere und volatilere Erzeugung geprägt wird, müssen Angebot und Nachfrage aufeinander abgestimmt sein. Nur so ist eine Systemstabilität zu gewährleisten. Um dies zu erreichen, bedarf es einer bidirektionalen, kommunikativen Vernetzung von Erzeugern, Netzelementen, Speichern und Verbrauchern. Das damit entstehende Smart Grid umfasst mehrere Millionen regional verteilter Mess-, Steuer- und Kontrollpunkte. Jeder einzelne von ihnen kann theoretisch der Zugangspunkt für Angriffe sein. Es liegt deshalb nahe, das Risiko von Cyber-Attacken als Achilles-Verse der Digitalisierung zu bezeichnen. Diese entsteht aus der Interdependenz zweier kritischer Infrastrukturen: Energie und Informations- und Telekommunikationstechnik.
Die Verbindung von physischer Welt und elektronischer Steuerung wird immer enger und ist somit ein Treiber von Chancen aber auch von Cyber-Security-Risiken. Dies gilt insbesondere für die Verteilnetze, in denen die Automatisierung von Prozessen und die Nutzung von IT vielfach Neuland sind. Da Attacken auf Stromnetze und mithin Netzzusammenbrüche schwer auf regionale Märkte begrenzt werden können, bedarf es hier im Übrigen länderübergreifender Anstrengungen. Vor dem Hintergrund der zentralen Bedeutung der Energiewirtschaft für die gesamte Volkswirtschaft, der Notwendigkeit ihrer Digitalisierung und deren Risiken muss die digitale Transformation das Risiko von Stromausfällen von vornherein minimieren. Denn bereits ein Ausfall von wenigen Minuten kann Schäden in Millionenhöhe anrichten.
Letztendlich hängt die Robustheit von Smart Grids davon ab, wie sicher die Prozesse, die intelligenten Messsysteme und – ganz wesentlich – die Kommunikationsverbindung sind. Die Relevanz letzterer wird häufig übersehen, dabei können Hacker diese beispielsweise nutzen, um Netzbereiche gezielt lahmzulegen, etwa mit „denial of service“-Angriffen. Hier ist insoweit relevant, wie robust oder resilient die Kommunikationsverbindung ist. Mit anderen Worten: die Kommunikation muss selbst dann noch verfügbar sein, wenn es zum Ausfall des Stromnetzes kommt. Dies ist beispielsweise beim Digitalfunknetz der Behörden und Organisationen mit Sicherheitsaufgaben (BOS) der Fall. Hier ist anerkannt, dass Sicherheit und Resilienz zwei Seiten einer Medaille sind.
Online bedeutet Angreifbarkeit
Selbst wenn die Prozesse zur Steuerung der Stromnetze heute vom Internet getrennt sind, bleiben Erzeugungsanlagen online. Dass sie damit sicht- und angreifbar sind, zeigen die eingangs genannten Beispiele von Cyber-Angriffen weltweit. Es besteht folglich die Gefahr, dass etwa Schad-Software in einer der regional verteilten Anlagen eingeschleust wird. Um den damit verbundenen Risiken zu begegnen bedarf es rechtlicher, technischer und organisatorischer Anpassungs- und Schutzmaßnahmen. Aus rechtlicher Sicht sind spezifische Regelungen für die Datensicherheit und den Datenschutz notwendig. So kann der Gesetzgeber beispielsweise bestimmte Schutzprofile für intelligente Messsysteme als verbindlich vorgeben. Ebenso kann er Versorgern organisatorische Schutzmaßnahmen vorschreiben.
Für die Kommunikationsverbindungen im Smart Grid gilt, dass Daten nicht über das offene Internet übertragen werden dürfen. Die Sicherheitsanforderungen bedingen, dass die Kommunikation nur zu vordefinierten Adressen aufgebaut werden und immer kryptografisch gesichert, das heißt verschlüsselt und gegenseitig authentifiziert, sein muss. Werden die Daten im öffentlichen Netz übertragen, so kann dies nur in virtuellen privaten Netzen (VPN) geschehen. Dadurch sind die Daten vom öffentlichen Internet aus nicht einsehbar. Ungelöst ist dann immer noch die Frage der Verfügbarkeit oder Resilienz. So gibt es kontinuierlich Berichte über Ausfälle öffentlicher Kommunikationsnetze. Ob sie sich dafür eignen, kritische Infrastrukturen zu vernetzen, ist also zweifelhaft.
Sicher im Smart Grid kommunizieren
Eine Alternative zu öffentlichen Kommunikationsnetzen besteht zusammengefasst in der Übertragung in einem privaten, dedizierten Kommunikationsnetz, das nicht mit dem Internet verbunden ist. Auch hier sind die Daten von außen nicht einsehbar und können nicht manipuliert werden. VPN können hier ebenfalls eingesetzt werden. Auf diese Weise angebundene Erzeugungsanlagen oder Mess- und Steuereinrichtungen sind im Internet nicht sichtbar. Der Vorteil eines privaten Kommunikationsnetzes besteht dann, wenn es hinsichtlich der
Resilienz so geplant und gebaut ist, dass es selbst im Fall einer Stromunterbrechung funktioniert. Damit ist ein privates, dediziertes Kommunikationsnetz wesentlich robuster als öffentliche Kommunikationsnetze, die beim Stromausfall ebenfalls ausfallen. Eine effiziente und sichere Maschine-zu-Maschine-
Kommunikation ist zudem dann gegeben, wenn innerhalb der Kommunikationsnetze keine unterschiedlichen Technologien zum Einsatz kommen.
Da die potenziellen Schäden durch Cyber-Angriffe immens sind, verdient das Thema Cyber-Sicherheit Aufmerksamkeit. Zudem sind bei der digitalen Transformation der Energienetze die Bereiche Cyber-Sicherheit und Resilienz miteinander verknüpft. Werden beide Themen zusammen betrachtet und geplant, verringert sich das Risiko von erfolgreichen Cyber-
Attacken nachhaltig.
.jpg "Endress+Hauser auf der SPS in Nürnberg")
