Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAOBesser gewappnet
Risikomanagement
Sicherheit am Flughafen umfasst weitaus mehr als Passagier- und Gepäckkontrollen. Auch hinter den Kulissen muss vieles laufend überprüft werden, darunter IT-Systeme und technische Anlagen. Im Forschungsprojekt »AEROKI« entwickelt das Fraunhofer IAO gemeinsam mit Partnern Methoden, die den Verantwortlichen helfen, schneller auf Cyberbedrohungen zu reagieren.
Als Ende 2021 die Sicherheitslücke Log4Shell bekannt wurde, brach bei IT-Verantwortlichen weltweit eine hektische Suche aus. Sie steckte in einem Softwarebaustein namens Log4j, der in unzählige Anwendungen eingebunden war, teils in Programmen, teils auf Servern. Das Problem war: Über dieses Einfallstor konnten Angreifende in betroffene Systeme eindringen. Daher galt es, schnell zu klären, welche eigenen IT-Systeme diese Komponente enthielten, um Schaden abzuwenden.
Wenn schon einzelne Unternehmen bei so einem Vorfall nervös werden, welche Bedeutung hätte das für eine kritische Infrastruktur? Bei einem Flughafen etwa kann eine IT-Störung weit über den eigenen Betrieb hinausreichen – und täglich Tausende Menschen betreffen. Die Frage ist daher: Wie lassen sich sicherheitsrelevante Risiken rechtzeitig erkennen und bewerten?
Diesem Thema widmet sich das vom Bundesministerium für Bildung und Forschung (BMBF) geförderte Projekt »AEROKI«. Gemeinsam mit wissenschaftlichen Partnern sowie der Fraport AG als Betreiberin einer kritischen Infrastruktur entwickelt das Fraunhofer IAO seit Juni 2023 ein Verfahren, um solche Bedrohungslagen systematischer zu erfassen.
Hochkomplexes Geflecht
Fraport ist als Praxispartner ideal für dieses Vorhaben. Der Flughafen Frankfurt ist Deutschlands größter Flughafen und eines der bedeutendsten internationalen Drehkreuze Europas. Viele Unternehmen und Geschäftsfelder sind hier untergebracht, vom Gebäudemanagement über die Energieversorgung bis zur eigenen Klinik und Feuerwehr. Hinzu kommen externe Dienstleister. Die enge Verzahnung hat eine hochkomplexe IT-Landschaft hervorgebracht. Sie abzusichern, stellt die Cybersecurity vor große Herausforderungen.
Schwachstellen sind hier keine Seltenheit. »Mehr als 50 000 neue Schwachstellen wurden im Jahr 2026 bisher veröffentlicht«, sagt Dr. Christian Schunck, wissenschaftlicher Mitarbeiter am Fraunhofer IAO und Projektleiter bei »AEROKI«. »Mit Einsatz von KI werden es noch mehr werden.« Sicherheitslücken können in Software, Betriebssystemen oder Geräten stecken, über Updates oder Schnittstellen ins eigene IT-System gelangen. Laufend kommen neue hinzu. Und nicht jede ist gleich gefährlich. Entscheidend ist aber: Wie relevant ist das jeweils für den Betrieb?
Angreifbar über andere
Die eigenen Systeme sind hierbei nur ein Faktor. Kritische Infrastrukturen sind auch über Zulieferer und Dienstleister angreifbar. Druckluft, Heizung, Kühlung, Wasserversorgung – sensible Bereiche wie diese werden meist von externen Unternehmen installiert und gewartet. »Daher ist es wichtig, neben der eigenen Sicherheit auch die seiner Partner im Blick zu haben«, erklärt Schunck. »Hat etwa ein Zulieferer einen Cybervorfall, sollte man dies erfahren und bestenfalls einen Hinweis erhalten: Achtung, diese Firma hat einen Fernwartungszugriff. Bitte abstellen, bis alles geklärt ist.«
Den Überblick zu behalten, wird bei der Fülle an Vorfällen immer schwieriger. »Irgendwann war uns klar, dass das mit klassischen Methoden nicht mehr leistbar ist, egal wie groß das Security-Team ist«, sagt Alexander Döhne, Vice President Cyber Security & IT-Governance bei Fraport. »Wir brauchen ein hohes Maß an Automatisierung, um zukunftsfähig zu sein.«
Genau hier setzt das Projekt an. Eine der Grundlagen von »AEROKI« ist das Asset Management.
Das klingt technisch, dahinter steckt aber ein einfaches Konzept: Ich kann nur schützen, was ich kenne. Das heißt, ich brauche Transparenz über die gesamte Infrastruktur. Ich muss wissen: Was habe ich wo? Wer ist dafür verantwortlich? Und wie businesskritisch ist eine Schwachstelle?«
Dr. Christian Schunck, Wissenschaftlicher Mitarbeiter im Team »Identitätsmanagement« des Fraunhofer IAO
Die dafür benötigten Daten zu erheben, sei sehr aufwendig gewesen. »Fraport ist wie eine kleine Stadt. Man muss wissen, was alles an ihr dranhängt – organisatorisch, administrativ und technologisch.« Nicht minder aufwendig war die Umsetzung, vor allem Strukturen zu etablieren, um Daten aktuell zu halten. Laufend ändert sich etwas. Zugleich muss das Team Cybersicherheitswarnungen verfolgen, offizielle wie inoffizielle.
Risiken abwägen
Im letzten Schritt ging es darum, die Risiken vergleichbar zu machen. Das Risk-Value-Scoring ist das Kernstück von »AEROKI«: Hierfür werden alle Informationen über eigene Systeme, Lieferanten und Schwachstellen automatisiert miteinander verknüpft und ausgewertet. Berücksichtigt wird nicht nur die Höhe eines Risikos, sondern auch die Bedeutung des jeweiligen Systems für den Betrieb. Fällt zum Beispiel die Feuerwehr aus, heißt das: Stillstand. Bei defekten Parkschranken entstehen dagegen vor allem Kosten.
Der ermittelte Score hilft dem Security Team, sich auf das Wesentliche zu konzentrieren. Diese Art der Automatisierung entlastet Mitarbeitende und hilft ihnen, schneller zu handeln und die richtigen Prioritäten zu setzen. »Das Ziel ist, sofort eine Entscheidungsgrundlage zu haben und nicht erst in zwei Wochen«, sagt Döhne.
Bis November läuft das Projekt noch, die bisherige Bilanz ist durchweg positiv. »Wir hatten viele greifbare Ergebnisse, und die Mitarbeitenden waren stolz auf das Erreichte«, sagt Schunck. Er sieht in der Methode großes Potenzial, weil sie sich auch auf andere Bereiche übertragen lasse: »Gerade die Lieferantenbewertung und das Risk-Value-Scoring sind für viele kritische Infrastrukturen relevant.«