Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAOKrisenresilienz ist eine Frage von Vertrauen und Training
Im Gespräch
Starkregen, Sabotageakt oder Cyberangriff: Im Krisenfall braucht es klare Handlungsvorgaben. Rebecca Litauer und Dr. Heiko Roßnagel sprechen im Interview über Notfallhandbücher für Städte, KI-Angriffe auf Unternehmen und die Notwendigkeit, den Ernstfall immer wieder zu trainieren.
Frau Litauer, hinter uns liegt ein Sommer mit Hitzerekorden, Waldbränden und Ernteausfällen. Parallel wird laufend kritische Infrastruktur ausgespäht und angegriffen. Können wir uns vor all diesen Gefahren überhaupt schützen?
Rebecca Litauer: Wir müssen uns von dem Gedanken verabschieden, dass wir sämtliche Bedrohungen abwehren können. Vielmehr geht es darum, sich gegen die Folgen von Krisen zu rüsten. Nehmen wir mal einen Angriff auf das Stromnetz: Damit eine Verwaltung den Schaden schnell beheben kann, muss sie mitten in der Krise schnell und effizient handeln. Da geht es dann um Fragen wie: Wie stabil sind unsere IT- und Kommunikationssysteme? Wie verlässlich kann die Verwaltung weiterarbeiten? Wie können wir Versorgung und Mobilität für die Bevölkerung sicherstellen? Wichtig ist, sich mit diesen Themen auseinanderzusetzen, bevor die Krise eintritt.
Sie entwickeln gemeinsam mit Städten und Gemeinden Notfallpläne. Wie gehen Sie dabei vor?
Rebecca Litauer: Zunächst ermitteln wir, welche Krisen einer Stadt oder Gemeinde drohen könnten. Im nächsten Schritt führen wir eine Umfrage darüber durch, wie die Mitarbeitenden die Abläufe in ihrer Verwaltung wahrnehmen. Diese individuellen Perspektiven sind enorm wichtig, um zu verstehen, wie Krisenmanagement innerhalb der Organisation verstanden wird. Auf Basis dieser Erkenntnisse analysieren wir die Strukturen und Prozesse im Detail. Dabei setzen wir vor allem auf Workshops, in denen wir auch die Beziehungen der Abteilungen untereinander in den Fokus nehmen. Wie sind die Teams aufgestellt? Wie werden Informationen weitergegeben? Wir wollen dafür sensibilisieren, dass die Entwicklung einer Notfallstrategie keine Randaufgabe ist, sondern von allen Abteilungen getragen wird. Deshalb begleiten wir den gesamten Prozess, von der Vorbereitung über die Finanzierung bis hin zur Außenkommunikation – und zwar für die Verwaltungen selbst, aber auch für alle Dienstleister und öffentlichen Unternehmen, etwa aus dem Energie- oder Gesundheitswesen.
Wie lässt sich sicherstellen, dass eine Notfallstrategie im Krisenfall greift?
Rebecca Litauer: Die Ergebnisse unserer Arbeit münden in einem Notfallhandbuch, in dem Kompetenzen und Verantwortlichkeiten eindeutig geregelt sind. Da geht es um arbeitsfähige Krisenstäbe, alternative Kommunikationswege, Notstromkonzepte und Anlaufstellen für die Bevölkerung. Wenn Städte diese Maßnahmen nicht isoliert betrachten, sondern ihr Krisenmanagement ganzheitlich denken, haben sie einen wirkungsvollen Notfallplan in der Schublade. Damit der im Ernstfall auch funktioniert, muss er allerdings trainiert werden. Deshalb sind regelmäßige Übungen unerlässlich.
Wenn Sie an Ihre Arbeit mit Städten und Kommunen denken: Wo sehen Sie Nachholbedarf?
Rebecca Litauer: In den meisten Fällen hakt es bei der Organisation. Viele Verwaltungen wissen zwar grundsätzlich, was sie im Krisenfall zu tun haben. Wenn es dann aber wirklich so weit kommt, ist nicht immer klar, welche Aufgaben Priorität haben, welche Ressourcen benötigt werden und wer im Zweifel überhaupt Entscheidungen treffen darf. Klare Rollen und Kompetenzen sind aber wichtig, auch um in einer Krisensituation weniger abhängig von einzelnen Personen zu sein. Außerdem verlassen sich viele Institutionen wie selbstverständlich auf ihre digitalen Plattformen, aber auch die können natürlich mal ausfallen. Analoge Alternativen, klare Rollenverteilung und regelmäßiges Üben – all das wird oft unterschätzt, kann aber im Zweifel Leben retten. Entscheidend ist, wie Menschen unter Druck reagieren, wie schnell sie die Lage erfassen, wie sicher sie sich in ihren Handgriffen fühlen und wie gut eingespielte Abläufe im Kopf sitzen, wenn es darauf ankommt.
Einen Plan zu haben, ist also zentral, am Ende kommt es aber auf die Menschen an, die ihn umsetzen. Herr Roßnagel, ist das im Bereich Cybersecurity auch so?
Heiko Roßnagel: In der IT-Sicherheit gilt der Mensch ja oft als Einfallstor für Angriffe, als »schwächstes Glied in der Kette«. Ich halte dieses Bild für kontraproduktiv – und würde es gerne umkehren: In meinen Augen ist der Mensch die »last line of defense«. Tatsächlich greifen Cyberkriminelle dort an, wo sie die größte Chance sehen durchzukommen. Wenn technische Sicherheitsmaßnahmen sie daran hindern, wird eben der Mensch zum Angriffsziel. Mit dem richtigen Training im Hintergrund, kann er dann – als letzte Firewall – den Angriff verhindern. Entscheidend ist deshalb, dass Menschen auf solche Attacken vorbereitet sind und dass sie die verschiedenen Angriffsformen im besten Fall schon einmal durchgesprochen oder erlebt haben.
Wie zum Beispiel im Lernlabor Cybersicherheit auf dem Bildungscampus Heilbronn, wo man realistische Angriffsszenarien erleben kann. Wie unterstützen Sie Ihre Kunden darüber hinaus?
Heiko Roßnagel: Zu uns kommen sehr unterschiedliche Unternehmen, vom Global Player bis zum Mittelständler. Letztere sind vielleicht nicht so sehr im Fokus, wenn es um Angriffe auf kritische Infrastruktur geht. Aber die meisten Attacken sind ohnehin wirtschaftlich motiviert. Die Hacker klauen Daten und erpressen sich dann ein Lösegeld oder räumen einfach direkt das Unternehmenskonto leer. So können auch KMU zu attraktiven Angriffszielen werden, und viele sind darauf nicht vorbereitet. Häufig starten wir deshalb mit einer Inventur aller internetfähigen Geräte. Damit sind nicht nur PCs gemeint, sondern sämtliche Geräte, auf die von außen zugegriffen werden kann. Je nach Betrieb kann der Gerätepark der »Operational Technology« schon mal mehrere Zehntausend Anlagen umfassen – und jede davon ist ein potenzielles Sicherheitsleck. Im Anschluss spielen wir gemeinsam mögliche Szenarien durch und entwickeln Notfallpläne. Hinzu kommen Schulungen für Mitarbeitende sowie für Sicherheits- und IT-Personal. Unser Ziel ist es, dass Schutzmaßnahmen gut im Team kommuniziert werden und bei der übrigen Belegschaft nicht nur als nervige Sicherheitseinweisung ankommen, die man schnell wieder vergisst.
Cyberangriffe sind inzwischen die größte Gefahrenquelle für Unternehmen.«
Dr. Heiko Roßnagel, Leiter des Teams »Identitätsmanagement« am Fraunhofer IAO
Größere und lang anhaltende Krisen lassen sich nur bewältigen, wenn gesellschaftliche Strukturen und staatliche Institutionen funktionieren.«
Rebecca Litauer, wissenschaftliche Mitarbeiterin im Team »Energy Innovation« am Fraunhofer IAO
Nehmen Unternehmen in Deutschland Cybergefahren denn nicht ernst genug?
Heiko Roßnagel: Cyberangriffe sind die größte Gefahrenquelle für Unternehmen. Die meisten haben das auch verstanden und investieren viel in technische Absicherung. Uns fällt aber immer wieder auf, dass der Faktor Mensch mitunter vernachlässigt wird. Zum einen braucht es Trainings, damit Mitarbeitende Phishing und andere Betrugsversuche rechtzeitig erkennen. Zum anderen braucht es natürlich qualifiziertes Personal, das die digitalen Überwachungssysteme bedienen kann. Das wird mit wachsenden Informationsströmen und globalen Lieferketten aber immer komplizierter. Schließlich dreht sich in der Industrie 4.0 und dem Internet der Dinge alles um Vernetzung. Gleichzeitig steigt die Bedrohungslage massiv, weil die Systeme zunehmend mithilfe von KI angegriffen werden. Eine Folge davon ist, dass die Zeitspanne zwischen dem Bekanntwerden eines großen IT-Systems, das zum Beispiel auch deutsche KMU nutzen, und der Angriffswelle auf diese KMU immer kürzer wird. Früher brauchten Cyberkriminelle dafür Wochen oder Monate, heute erfolgen solche Attacken binnen Minuten.
Was sollte man im Falle eines Angriffs tun?
Heiko Roßnagel: Grundregel eins: Ruhe bewahren. Grundregel zwei: sich schnell einen Überblick über den Angriff verschaffen und betroffene Systeme sofort vom Netz trennen – aber bitte nicht herunterfahren! Das ist ganz wichtig, denn beim Ausschalten gehen wichtige Beweise und Informationen verloren, wie die Angreifenden eindringen konnten und welche Backups noch sicher sind. Auch beim Cybervorfall braucht es einen Krisenstab, einen Krisenmanager und ein Gremium, das schnell enorme Entscheidungen trifft. Nur mit klaren Rollen und entsprechender Rückendeckung bleibt man in der Krise handlungsfähig. Je kürzer die Zeit bis zur Handlungsfähigkeit nach Krisenbeginn, desto geringer der Schaden und desto schneller die Erholung.
Krisenzeiten sind auch Zerreißproben für das Vertrauen der Menschen in Staat und Institutionen. Nun erleben wir derzeit, dass das Vertrauen vieler Menschen erodiert. Kann das Folgen für unsere Krisenresilienz haben, Frau Litauer?
Rebecca Litauer: Das ist nicht auszuschließen. Und wenn die Folge wäre, dass Menschen ihr Interesse an zivilgesellschaftlichem Engagement verlieren, dann wäre das tatsächlich ein Problem. Im Extremfall ziehen sich Menschen vollständig in private Vorsorgestrategien zurück und setzen ausschließlich auf individuelle Vorbereitung. Private Vorsorge ist zwar wichtig, das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe hat sogar eine Liste von Dingen zusammengestellt, die man bereithalten sollte, falls, sagen wir, der Strom über mehrere Tage ausfallen sollte. Größere und lang anhaltende Krisen lassen sich jedoch in der Regel nur bewältigen, wenn auch gesellschaftliche Strukturen wie Nachbarschaften, Hilfsorganisationen und staatliche Institutionen funktionieren. Damit das gelingt, braucht es Menschen, die um die Gefahren von Krisen wissen, notwendige Maßnahmen kennen und ihre jeweilige Verantwortung für die Gemeinschaft reflektieren. Deshalb geht es in unserer Arbeit auch darum, hier ein Bewusstsein zu schaffen.
Wie lässt sich an dieser Stelle verlorenes Vertrauen zurückgewinnen?
Rebecca Litauer: Das ist nicht einfach, aber auch nicht unmöglich. Denn bei allem Misstrauen ist es ja so, dass wir in einem Land leben, in dem es noch immer vielfältige Formen der Solidarität gibt. Nehmen Sie nur die freiwilligen Feuerwehren oder das Technische Hilfswerk, das den Zivil- und Katastrophenschutz auf freiwilliger Basis unterstützt. Oder die zahlreichen Nachbarschaftshilfen, in denen Menschen sich organisieren, um einander zu unterstützen. Hinzu kommen digitale Netzwerke, über die sich Menschen in Krisen oder besonderen Situationen kurzfristig zu Hilfsaktionen zusammenschließen. Solche losen Verbünde müssen allerdings koordiniert werden, was eine ganz eigene Herausforderung ist. Generell aber kann man sagen, dass sich auf dieses Engagement aufbauen lässt. Solche Netzwerke sollten gefördert und stärker eingebunden werden. Die Verwaltung könnte sie auch nutzen, um mit Menschen in den Dialog zu treten. Denkbar wären Informationsabende oder Bürgergespräche, bei denen man seine Ideen einbringen kann. Solche Formate können, wenn sie transparent und partizipativ gestaltet werden, dazu beitragen, dass Vertrauen zurückkehrt. Ob das gelingt, hängt natürlich auch von vielen weiteren Faktoren ab, etwa von den individuellen Lebenserfahrungen der Menschen oder den Folgen einer zunehmend polarisierten Öffentlichkeit. Aber Menschen zusammenzubringen, ist ein Schritt in die richtige Richtung.
Herr Roßnagel, wie können wir uns noch besser auf Cybergefahren vorbereiten?
Heiko Roßnagel: Wir müssen als Einzelne, aber auch als Gesellschaft viel mehr über diese Gefahren wissen. Das fängt schon mit Themen wie Fake News oder Desinformation an. Mithilfe von KI können heutzutage ja Deepfakes produziert werden, die sich kaum als solche identifizieren lassen. Im Falle von politischen Themen muss man schon den Kontext kennen, um zu ahnen, dass da was nicht stimmen kann. Die Folge ist eine weitreichende Verunsicherung: Was ist echt, was nicht? Deshalb müssen wir zum Beispiel neu lernen, wie wir Quellen bewerten. Resilienz gegen die Gefahren des »postfaktischen Klimas«, das um sich greift, erlangen wir nur, wenn wir den Umgang mit Informationen konsequent gemeinsam trainieren.