Solarparks und große Speicher am Stromnetz gehören zur kritischen Infrastruktur. Wie wichtig ist die Sicherung gegen Zugriff durch Unbefugte?
Sonna Barry: Zur kritischen Infrastruktur gehören heute nicht nur die Energienetze, sondern viele Bereiche, der für den Bürger notwendigen Versorgung, beispielsweise große öffentliche Unternehmen, Krankenhäuser oder Supermarktketten. Die Anzahl der Angriffe ist in den letzten 5 Jahren nochmals stark gestiegen. Oft versuchen Kriminelle auch, auf diesem Wege Lösegeld zu erpressen. Da hat sich eine regelrechte Industrie entwickelt.
Solar Investors Guide (Podcast): Cybersicherheit – Kriminelle kommen übers Internet
Wie muss man sich die kriminellen Elemente vorstellen, die in die Datenstrukturen von Unternehmen oder Energieanlagen eindringen wollen?
Am Anfang waren es die klischeehaften „Hacker in Hoodies“ oder sogenannte Cyberkids, die sich ausprobieren wollten. Vereinzelt mag es solche Akteure noch geben. Mittlerweile sind neben staatlich geförderten Akteuren vor allem spezialisierte Gruppen am Werk, deren Dienste man im Darknet kaufen kann. Professionelle Teams suchen beispielsweise nach Sicherheitslücken, um Zugriff auf Daten oder Betriebsmittel zu erlangen. Dass die Zahl der Angriffe deutlich steigt, beweist die Professionalisierung des Geschäfts.
Soeben erschienen: Aktuelles Themenheft zur Cybersicherheit
Rollt da eine Welle auf uns zu?
Sie ist schon da: Im Mittelstand sind solche Angriffe mittlerweile alltäglich. Einschlägige Statistiken weisen eine sehr hohe Zahl von Angriffsversuchen pro Tag aus. Die Frage lautet also: Kommen sie durch? Man kann durchaus sagen, dass Cyberattacken mittlerweile so wahrscheinlich geworden sind wie Taschendiebstähle am Bahnhof.
Welche Erfahrungen gibt es bislang mit Cyberangriffen auf die Energieversorgung?
Auch da solche Angriffe inzwischen zur regulären Kriegsführung zu gehören scheinen, haben sich zum Beispiel die baltischen Staaten vom russischen Stromnetz abgekoppelt, um Risiken zu minimieren.2016 führte ein Angriff auf das Energiesystem der Ukraine zum teilweisen Ausfall der Versorgung. Da waren offenbar russische Kriminelle am Werk, potentiell geschützt und unterstützt vom russischen Staat. Solche Vorfälle haben sich seitdem wiederholt.
Solar Investors Guide (Podcast): Solaranlagen und Speicher gegen Cyberangriffe schützen
Haben Sie Erkenntnisse über Vorfälle in der Solarbranche?
Einschlägige Forschungsergebnisse zeigen, dass Akteure, die Kontrolle über wenige Gigawatt erzeugten Solarstrom erlangen können, die Möglichkeit haben, die Netzfrequenz so stark abzusenken oder zu erhöhen, dass es zu einem Netzzusammenbruch kommen kann. Zum Glück sind Angriffe bislang noch nicht in diese Größenordnung vorgestoßen. Doch je mehr Solaranlagen oder Stromspeicher ans Netz gehen, desto wichtiger ist ihre Sicherung gegen unbefugten Zugriff. Das ist der Fluch des Erfolgs.
Welche Vorgaben gibt es von Seiten der EU und des Gesetzgebers in Deutschland?
Prinzipiell unterscheiden wir zwei relevante Bereiche: den Compliance- und den technisch-operativen Bereich. Wenn Sie gestatten, beginne ich mit dem Compliance-Bereich, der die juristischen Vorgaben abdeckt. Die neue NIS2-Richtlinie der EU wird hier für viele Unternehmen zu einer deutlichen Verschärfung der Dokumentations- und Meldepflichten führen. Die erste Cybersicherheits-Richtlinie der EU von 2016 wurde erweitert, weil die Bedrohungslage deutlich gewachsen ist. Die Energiebranche fiel zwar schon unter die erste Richtlinie, doch jetzt werden deutlich mehr und deutlich kleinere Anbieter und Anlagen erfasst.
Tesvolt und Samsung SDI bieten sichere Speichersysteme für Kommunen
Welche Kriterien gelten für Unternehmen oder Anlagen, damit sie unter NIS2 fallen?
Entweder haben die Unternehmen mindestens zehn Millionen Euro Umsatz im Jahr, oder sie beschäftigen mindestens 50 Mitarbeiterinnen und Mitarbeiter. Ich empfehle zur Prüfung der Betroffenheit zum Beispiel den Fragebogen, den das Bundesamt für Sicherheit in der Informationstechnik auf seiner Website anbietet. Das BSI bietet generell umfangreiche Informationen und Angebote zu diesem Thema. Der Fragebogen hilft zu ermitteln, ob man unter die Vorgaben der neuen NIS2-Richtlinie fällt. Die Umsetzung von NIS2 in deutsches Recht steht aktuell noch aus.
Investitionsbooster: Ab sofort schnelle Abschreibung möglich
In unserer Branche geht es vor allem um Wechselrichter und Speicherbatterien. Über die Leistungselektronik und die Steuerung sind sie in der Regel mit dem Netz gekoppelt. Was müssen die Hersteller solcher Systeme beachten?
Speziell für die Sicherheit solcher Produkte hat die EU den Cyber Resilience Act verabschiedet. Darunter fallen alle Produkte, die mit dem Internet verknüpft sind, also auch Wechselrichter, Speicher, Energiemanager oder die Technik der Gebäudeautomation. Ab 2027 ist es nicht mehr zulässig, solche Geräte in den Umlauf zu bringen, wenn sie Sicherheitslücken aufweisen, die zum Zeitpunkt des Verkaufs bekannt sind. Die Hersteller sind aufgefordert, ihre Produkte kontinuierlich auf Schwachstellen zu prüfen und die Risiken von Cyberangriffen zum Beispiel durch regelmäßige Updates der Firmware oder speziell für eine neu gefundene kritische Lücke entwickelte Lösungen – sogenannte Patches – zu senken. (HS, gekürzt)
Das komplette Interview erschien im Augustheft der photovoltaik. Unsere Abonnenten können es in voller Länge lesen. Sie haben noch kein Abonnement? Dann melden Sie sich umgehend an!
Im Interview: Sonna Barry ist Diplom-Kauffrau und beschäftigt sich seit 2007 mit komplexen Softwareprodukten für die Wirtschaft. Fachfremden Entscheidern passgenau das Wissen zu vermitteln, das fundierte strategische Entscheidungen ermöglicht, ist ihre Leidenschaft. Seit 2018 ist die Cybersicherheit ihr Kernthema. Sonna Barry arbeitet seit April 2021 als Vizepräsidentin für Business Development & Strategy bei der Secida AG aus Essen. Das Unternehmen ist auf Analyse, Design, Implementierung und Managed Services rund um IT-Infrastrukturen und Cybersicherheit spezialisiert. Ein Großteil der Kunden kommt aus der Energiewirtschaft, dem Finanzsektor und der Industrie.
Nichts verpassen: Melden Sie sich für unseren Investoren-Newsletter an!
