Cyberangriffe, Blackouts, Naturkatastrophen: In einer Welt, in der physische und digitale Systeme immer enger zusammenwachsen, können Störungen schnell ganze Infrastrukturen lahmlegen. Bei der ÖAW-IIASA-Lecture „Underestimating Resilience in a Hybrid World: Why Critical Infrastructure Remains Vulnerable to Natural Hazards and Cyber Attacks“ am 17. März spricht der renommierte Informatiker und Mathematiker  Dimitris E. Simos an der Österreichischen Akademie der Wissenschaften (ÖAW) über diese neuen Verwundbarkeiten. Im Interview verrät er vorab, warum unsere Systeme besonders anfällig für Angriffe sind, wie Kettenreaktionen entstehen und was jede und jeder Einzelne zur Sicherheit beitragen kann.

Warum wir Risiken unterschätzen

Wir leben in einer „hybriden Welt“, sagen Sie. Was bedeutet das eigentlich?

Dimitris E. Simos: Was ich mit einer hybriden Welt meine, ist im Grunde, dass viele der früher rein physischen Systeme – etwa Autos oder Mobiltelefone – im Laufe der Zeit immer digitaler geworden sind. Heute haben wir daher eine Situation, in der völlig neue Bedrohungen entstehen können, an die vor 20 Jahren kaum jemand gedacht hätte. Ein Auto ist mittlerweile gewissermaßen ein großes Smartphone auf Rädern. Und besonders in den letzten zwei, drei Jahren sehen wir diese Entwicklung auch bei großen Infrastrukturen: bei Stromnetzen, Satelliten, Flughäfen und ähnlichen Systemen. Je stärker diese Systeme digitalisiert sind – und dadurch auch benutzerfreundlicher und technologisch zugänglicher werden – desto mehr neue Risiken entstehen auch.

Warum unterschätzen wir, wie fragil diese Systeme sind?

Simos: Das allgemeine Bewusstsein ist noch nicht besonders hoch ist – auch wenn viele Menschen grundsätzlich über Sicherheitsrisiken Bescheid wissen. Besonders bei großen Systemen ist es so, dass neue IT-Infrastrukturen oft mit älteren, sogenannten Legacy-Systemen kompatibel sein müssen. Aus Effizienzgründen greift man dann häufig auf bestehende IT-Lösungen zurück und versucht, sie einfach zu übertragen – also Konzepte aus der klassischen Informatik in Systeme einzubauen, die ursprünglich gar nicht für IT gedacht waren. Das birgt ein großes Risiko. Man kann zum Beispiel nicht einfach eine Antivirus-Software, wie wir sie auf einem normalen PC verwenden, in das Sicherheitssystem eines Kraftwerks integrieren. So einfach funktioniert das nicht. Die technischen Unterschiede sind sehr subtil, aber sie erfordern ein deutlich tieferes Verständnis.

Vom Naturereignis zur Sicherheitslücke

Wie hängen diese digitalen Risiken mit Naturkatastrophen zusammen?

Simos: Weltweit – nicht nur in Österreich – sehen wir, dass extreme Naturereignisse wie Überschwemmungen oder Brände kritische Infrastrukturen massiv beeinträchtigen können, etwa die Strom- oder Wasserversorgung. Wenn diese Systeme stark miteinander vernetzt sind, bedeutet das auch, dass bei einem Ausfall die digitalen Überwachungs- und Kontrollsysteme mitbetroffen sein können. Dann kann ein möglicher Cyberangriff sogar völlig unbemerkt bleiben. Auf europäischer Ebene gibt es seit Jahren viele Forschungs- und Entwicklungsprojekte, um entsprechende Monitoring-Systeme aufzubauen. In der Praxis sind solche umfassenden Systeme jedoch bislang kaum flächendeckend umgesetzt worden – weder hier noch weltweit. Es gibt also viel Forschung, aber noch keine konsequente Umsetzung im realen Betrieb.

Ein einzelner Ausfall – ein sogenannter „Single Point of Failure“ – kann das gesamte System beeinflussen.

Wie genau können aus Naturkatastrophen Gefahren für die Sicherheit entstehen?

Simos: Nehmen wir ein Hochwasser in Österreich. Über das Land verteilt gibt es mehrere hundert Umspannwerke und Knotenpunkte im Stromnetz. Wenn durch die Überschwemmung auch nur ein kleiner Teil davon – sagen wir zehn oder ein Dutzend – für wenige Millisekunden ausfällt, kann das bereits Auswirkungen haben. Diese Abweichung im Netz wird möglicherweise von den Überwachungssystemen nicht sofort erkannt. Genau das ist ein Kaskadeneffekt: Ein einzelner Ausfall – ein sogenannter „Single Point of Failure“ – kann das gesamte System beeinflussen. Man könnte sagen: Es gibt doch Sicherungen und Backups. Aber für diese wenigen kritischen Sekunden entsteht aus digitaler Sicht eine Sicherheitslücke. Das ist kein Science-Fiction-Szenario, auch wenn es komplex klingt. Ähnliches ist vor drei Jahren in der Ukraine passiert – bei einem Angriff auf das ukrainische Stromnetz.

Der ewige Wettlauf

Gibt es so etwas wie einen Wettlauf zwischen Angreifern und Verteidigern?

Simos: Ja, diesen Wettlauf gibt es schon seit der Antike, seit es Kryptografie gibt. Schon zur Zeit von Caesar gab es erste Verschlüsselungssysteme, Spionage und Gegenmaßnahmen. Heute ist es so, dass wir als Verteidiger oder als sicherheitsbewusste Akteure meist einen Schritt hinterher sind. Wenn eine neue Angriffsmethode entwickelt wird, kann sie zunächst wie eine normale technologische Innovation aussehen. Die Verteidiger haben sie vielleicht noch nie zuvor gesehen. Wir befinden uns also in der Situation, dass wir etwas Unbekanntes vorhersagen müssen – nämlich wo und wie ein System angegriffen werden könnte. Aus Sicherheitsperspektive versuchen wir daher, alle möglichen Schwachstellen abzusichern, selbst die kleinsten. Deshalb habe ich vorhin das einfache Beispiel mit dem Passwort genannt: Nicht das Geburtsdatum verwenden, sondern ein komplexes Passwort wählen. Solche Maßnahmen erleichtern uns im Hintergrund die Verteidigungsarbeit.

Was die organisierten Gruppen betrifft: Es gibt sogenannte „Advanced Persistent Threats“. Das sind Hackergruppen, die oft staatlich finanziert werden. „Persistent“ bedeutet, dass sie so lange und so systematisch vorgehen, bis sie ihr Ziel erreicht haben. Sie probieren sehr ausgefeilte Angriffsmethoden aus. Früher gab es vor allem Hacker, die Sicherheitslücken aufzeigen wollten, um das Bewusstsein zu schärfen. Heute gibt es viele Gruppen, die aus finanziellen oder politischen Motiven handeln – etwa durch Ransomware oder gezielte Angriffe auf kritische Infrastruktur, teilweise im Auftrag von Staaten mit geopolitischen Interessen. Natürlich verfügen auch die Verteidiger über staatliche Kapazitäten, spezialisierte Zentren und militärische Ressourcen. Trotzdem sind wir häufig einen Schritt hinterher. Genau das macht die Situation so herausfordernd – und deshalb brauchen wir immer ausgefeiltere und robustere Verteidigungsstrategien.

Zitat: Es geht um einfache Dinge: Wie gestalte ich mein Passwort fürs Smartphone? 

Was wir tun können

Welche Rolle spielt ein Bewusstsein für Cybersecurity dabei – und was kann jede und jeder Einzelne tun?

Simos: Man kann im Grunde damit beginnen, Menschen für ganz kleine Gewohnheiten zu sensibilisieren, denn so verändern sich Gesellschaften. Es geht um einfache Dinge: Wie gestalte ich mein Passwort fürs Smartphone? Wie gehe ich mit öffentlichem WLAN um? Welche Berechtigungen erteile ich Apps? Welche Daten gebe ich großen Technologieunternehmen preis? Viele Menschen verlassen sich darauf, dass Systeme – etwa im autonomen Fahrzeug - „von selbst“ sicher sind. Das ist ein Irrtum. Auch hier trägt man Verantwortung. Es geht darum, aufmerksamer zu sein und bewusster mit digitalen Diensten umzugehen. Das sind kleine Schritte, aber sie sind ein Anfang – zumindest für Bürgerinnen und Bürger. Wenn es um größere Akteure und politische Entscheidungsträger geht, ist das natürlich eine umfassendere Diskussion. Aber beim Thema Bewusstsein würde ich genau dort ansetzen. Denn wenn nicht nur Studierende oder Wissenschaftler sensibilisiert sind, sondern die breite Öffentlichkeit, dann kann sich langfristig vieles verändern.

Was ist Ihre zentrale Botschaft an die Öffentlichkeit?

Simos: Im Kern würde ich sagen: Man sollte sich der Bedeutung von Cybersicherheit bewusst sein – das ist der erste Schritt. Es geht darum, die eigenen Systeme zu schützen. Mit „Systeme“ meine ich die eigenen digitalen Werte und Ressourcen. Und man sollte technologische Lösungen nicht blind akzeptieren, insbesondere nicht solche, die derzeit etwa im Bereich der Künstlichen Intelligenz angeboten werden.