Ein aktueller Bericht der Tagesschau zeigt erneut, dass Kritische Infrastrukturen zunehmend durch Sabotage, Drohnen, Einbrüche und andere gezielte Störungen gefährdet werden.
Für Betreiber stellt sich deshalb nicht nur die Frage, wie Gebäude und Anlagen besser geschützt werden können. Entscheidend ist zunächst zu erkennen, welche Funktionen für den Betrieb wirklich kritisch sind und welche Folgen ein Ausfall hätte.
Erst verstehen, dann schützen
In der Praxis wird beim Thema Sicherheit oft sehr schnell über Kameras, Zäune, Zutrittskontrollen oder Sicherheitsdienste gesprochen.
Diese Maßnahmen können wichtig sein. Sie sollten aber nicht am Anfang stehen.
Zuerst muss geklärt werden, welche Bereiche und Funktionen besonders kritisch sind, welche Gefährdungen bestehen und welche Auswirkungen ein Ausfall haben kann. Daraus werden Schutzziele abgeleitet und erst danach die notwendigen baulichen, technischen und organisatorischen Maßnahmen festgelegt.
Ein Krankenhaus benötigt beispielsweise für eine Notaufnahme oder eine zentrale Energieversorgung einen anderen Schutz als für einen Verwaltungsbereich. Bei einem Energieversorger können wiederum Netzleitstellen, Schaltanlagen oder bestimmte Versorgungspunkte besonders kritisch sein.
Es geht also nicht darum, überall den höchsten Schutz aufzubauen, sondern die richtigen Bereiche angemessen zu schützen.
Technik allein reicht nicht
Eine Videoanlage kann einen Vorfall erkennen. Eine Zutrittskontrolle kann den Zugang begrenzen. Ein Zaun kann das Eindringen erschweren.
Aber keine dieser Maßnahmen funktioniert für sich allein.
Entscheidend ist immer das Zusammenspiel von Technik, Organisation und Intervention. Wird beispielsweise ein Alarm ausgelöst, muss geregelt sein, wer ihn bewertet, wer informiert wird und wie schnell eine Reaktion erfolgen kann.
Ein gutes Sicherheitskonzept betrachtet deshalb nicht nur einzelne technische Maßnahmen, sondern immer den gesamten Ablauf – von der Erkennung eines Ereignisses bis zur Reaktion darauf.
Neue Gefährdungen verändern den Objektschutz
Auch der klassische Objektschutz verändert sich.
Während früher hauptsächlich Grundstücksgrenzen, Zufahrten, Türen und Fenster betrachtet wurden, müssen heute auch Gefährdungen aus dem Umfeld stärker berücksichtigt werden.
Drohnen sind dafür ein gutes Beispiel. Sie können Sicherheitszäune einfach überwinden und ermöglichen Beobachtung oder andere Eingriffe aus der Distanz.
Damit wird deutlich, dass moderne Sicherheitskonzepte nicht mehr nur bis zum Zaun denken dürfen. Auch Umfeld, Anflugmöglichkeiten, frei zugängliche technische Einrichtungen und mögliche Angriffspunkte von außen müssen berücksichtigt werden.
Nicht alles kann vollständig geschützt werden
Gerade bei weitläufigen Infrastrukturen wie Energie-, Wasser-, Verkehrs- oder Telekommunikationsnetzen ist ein vollständiger Schutz aller Anlagen kaum möglich.
Umso wichtiger ist eine klare Priorisierung.
Besonders geschützt werden sollten vor allem solche Bereiche, deren Ausfall große Auswirkungen hat, die nur schwer ersetzt werden können oder bei denen keine ausreichende Redundanz vorhanden ist.
Sicherheit bedeutet deshalb auch, vorhandene Mittel dort einzusetzen, wo sie den größten Nutzen bringen.
Sicherheit endet nicht am Zaun
Selbst mit guten Schutzmaßnahmen lässt sich nicht jedes Ereignis verhindern.
Deshalb muss ein Betreiber auch darauf vorbereitet sein, dass ein Angriff oder eine Störung tatsächlich erfolgreich ist.
Dann geht es darum, schnell zu reagieren, Schäden zu begrenzen, kritische Funktionen möglichst aufrechtzuerhalten und ausgefallene Systeme wieder in Betrieb zu nehmen.
Genau hier beginnt Resilienz.
Ein widerstandsfähiger Betrieb zeichnet sich nicht dadurch aus, dass niemals etwas passiert. Er zeichnet sich dadurch aus, dass er auf Störungen vorbereitet ist und auch unter schwierigen Bedingungen handlungsfähig bleibt.
KRITIS bedeutet deshalb mehr als Objektschutz
Das KRITIS-Dachgesetz unterstützt grundsätzlich genau diese Betrachtung.
Risiken, Abhängigkeiten, Sicherheitsmaßnahmen, Notfallorganisation und Wiederherstellung sollen stärker miteinander verbunden werden.
Für Betreiber bedeutet das aus meiner Sicht:
Kritische Funktionen erkennen, Risiken bewerten, angemessene Schutzmaßnahmen festlegen und gleichzeitig darauf vorbereitet sein, dass ein Ereignis trotzdem eintreten kann.
Viele dieser Schritte können bereits heute umgesetzt werden – unabhängig davon, wann einzelne gesetzliche Vorgaben im Detail konkretisiert werden.
Fazit
Der Schutz Kritischer Infrastrukturen wird anspruchsvoller.
Die Antwort darauf kann aber nicht einfach „mehr Sicherheitstechnik“ lauten.
Entscheidend ist ein Gesamtkonzept, das klar festlegt, was besonders geschützt werden muss, welche Risiken bestehen, welche Maßnahmen notwendig sind und wie der Betrieb nach einem Ereignis weitergeführt oder wiederhergestellt werden kann.
Oder kurz gesagt:
Gute Sicherheit versucht, Vorfälle zu verhindern. Gute Resilienz sorgt dafür, dass der Betrieb auch dann weitergeht, wenn dies nicht vollständig gelingt.