„Mehr Cybersicherheit als in diesem Projekt geht nicht“
Als im Jahr 2015 Hacker in den Bundestag eindringen und Daten stehlen, wird der Angriff nicht sofort bemerkt. Und selbst als klar ist, dass Eindringlinge in dem hochsensiblen System des Parlaments sind, benötigen Spezialist:innen und Ermittler:innen Monate, um die IT in Ordnung zu bringen, den Angriff zu analysieren und die Spuren zurückzuverfolgen. Erst Jahre später sind die Ermittler:innen so weit bei der Aufklärung vorangeschritten, dass ein Haftbefehl erwirkt werden kann.
Es muss nicht immer gleich ein Verfassungsorgan betroffen sein, um hohen Schaden und ernsthafte Notfälle zu verursachen: Krankenhäuser und Uni-Kliniken wurden zuletzt vermehrt von Cyberkriminellen attackiert und konnten wegen verschlüsselter Systeme eine Zeit lang keine Akutfälle mehr behandeln. Das Bundeskriminalamt spricht in seinem Lagebild Cybercrime von 108 000 Fällen von Cyberkriminalität im engeren Sinne. Das entspricht rechnerisch 296 Fällen pro Tag – und einem Anstieg von knapp 8 Prozent im Vergleich zum Vorjahr.
Der Landkreis Anhalt-Bitterfeld musste im Sommer 2021 den ersten Cyberkatastrophenfall Deutschlands überhaupt ausrufen, weil seine Verwaltung nach einer Attacke mit einem Verschlüsselungstrojaner nicht mehr arbeitsfähig war, wichtige Sozialleistungen nicht auszahlen konnte.
Wie wäre es, wenn es ein ganzheitliches Schutzkonzept gäbe, das zahlreiche IT-Sicherheitsfragen mit KI-Unterstützung bewältigt – gerade für hochsensible Bereiche? Bahnbrechend, findet ein Team der Cyberagentur und startet deswegen ein neues Projekt zu diesem Thema. Worum es dabei genau geht, womit es losgeht und wer jetzt mit welchen Ideen gefragt ist, sagt der zuständige Verantwortliche Dr. Gerald Walther.
Worum dreht sich das Projekt, das die Cyberagentur jetzt startet?
Dr. Gerald Walther: Die Aufgabe der Cyberagentur ist es, Forschung anzustoßen, die binnen fünf bis 10 Jahren einen substanziellen Beitrag zur inneren und äußeren Sicherheit der Bundesrepublik leistet. Dabei haben wir ein breites Verständnis von Cybersicherheit, das weit über die klassische IT-Sicherheit hinaus geht. Beim neuen Projekt geht es allerdings tatsächlich um das zentrale Feld der IT-Sicherheit – und zwar für besonders kritische und sicherheitssensible Bereiche wie Behörden, Parlamente, das Militär oder unsere Kritischen Infrastrukturen im Allgemeinen: Wir suchen nach Lösungen, bei denen vier Säulen der operativen Cybersicherheit zusammengedacht werden: Prävention, Detektion, Reaktion und Repression. Genauer gesagt geht es um die Frage, wie automatisierte Verfahren dabei helfen können, das Sicherheitsniveau von Systemen zu maximieren. Also, inwiefern lassen sich Schwachstellen und Angriffsmuster mit KI-Unterstützung vorhersagen und automatisiert patchen? Wie lässt sich möglichst zeitnah feststellen, dass Angreifer in ein System eindringen? Wie lassen sie sich mit KI-Unterstützung abwehren; und wie lässt sich herausfinden und beweisen, wer dieser Angreifer ist? Und all diese Fragen sollen holistisch betrachtet werden.
Wird daran nicht schon lange geforscht?
Dr. Walther: Ja, aber meist konzentrieren sich Forscherteams auf einzelne Bereiche, also Prävention oder Detektion. Wir wollen diese Fäden jetzt im Ganzen betrachten und weiterentwickeln lassen – und die Forschungsteams und einzelnen Communities aus den Teilbereichen zusammenbringen. Das Vorhaben ist sehr ambitioniert, die Aufgabenstellung komplex – und unserem Auftrag als Cyberagentur gemäß – auch wagnisbehaftet. Wenn es funktioniert, kann die Cybersicherheit einen großen Sprung machen. Wir haben dafür einen breiten Ansatz gewählt und suchen nach innovativen Lösungsansätzen. Dafür wollen wir größtmöglichen Freiraum bieten, damit die Interessent:innen auf uns zukommen können.
Warum widmet sich die Cyberagentur jetzt gerade diesem Thema?
Dr. Walther: Cyberkriminalität und Cyberattacken steigen seit Jahren an, wie etwa das Lagebild des Bundeskriminalamts beschreibt. Durch die Corona-Pandemie wurde dieser Effekt beschleunigt, weil die oft kurzfristig organisierten Wechsel von Büro auf Homeoffice zu mehr Angriffsmöglichkeiten geführt haben, die auch ausgenutzt wurden. Kritische Infrastrukturen und öffentliche Einrichtungen sind laut Bundeskriminalamt aufgrund ihrer Relevanz hoch gefährdet, weil ihr Ausfall eine gesellschaftliche Notlage auslösen kann.
Und wieso den Fokus auf Hochsicherheitsbereiche?
Dr. Walther: Gerade Behörden mit Sicherheitsaufgaben und andere – auch militärische- Hochsicherheitsbereiche sind mit Blick auf diese Entwicklung darauf angewiesen, ein möglichst hohes Sicherheitsniveau ihrer Systeme zu haben, Angriffe schnell zu erkennen, abzuwehren und Sicherheitslücken zu schließen. Das Thema zielt auf einen wichtigen Themenbereich der Cybersicherheit ab: die klassische IT-Sicherheit. Mehr Cybersicherheit als in diesem Projekt geht nicht.
Wer soll auf die Agentur zukommen und womit?
Dr. Walther: In einem ersten Schritt wollen wir darauf aufmerksam machen, dass wir zu ganzheitlichen Lösungen für existenzbedrohende Cyberrisiken für den Hochsicherheitsbereich ein Forschungsprojekt auflegen – und dabei herausfinden, wer Interesse hat, diese Fragestellung zu bearbeiten und zu erforschen. Deswegen haben wir einen Call for Ideas ausgerufen, oder in korrektem Verwaltungsdeutsch ein nicht-förmliches Interessenbekundungsverfahren. Mitmachen können Hochschulen und außeruniversitäre Forschungseinrichtungen, Unternehmen und Start-ups. Die genauen Kriterien und Anforderungen sind auf unserer Webseite unter Ausschreibungen zu finden.
Was ist das Ziel dieses ersten Aufrufs?
Dr. Walther: In einem ersten Schritt geht es darum, Ideenskizzen zu sammeln und zu sichten. Dabei können die teilnehmenden Teams aber auch Ergänzungen zu den von uns bisher fokussierten Fragestellungen und Fähigkeiten sowie Anmerkungen zum Projekt einbringen. Diese könnten dann in die im Anschluss geplanten Ausschreibungen zum Projekt „Hochsicherheit und Kritis“ miteinfließen. Neben diesen inhaltlichen Fragestellungen geht es uns auch darum, möglichst alle Akteur:innen, die bei unseren künftigen Forschungsprojekten zu diesem Thema mitwirken wollen oder können, jetzt schon aufmerksam zu machen und zu aktivieren. Da die Fragestellung sehr ambitioniert ist, erscheint es uns sinnvoll, Konsortien zu bilden. Institutionen und Unternehmen, die für ihre Teilnahme an der geplanten Ausschreibung noch Kooperationspartner suchen, können wir im Zuge des Verfahrens zusammenbringen.
Wie viel Geld gibt es?
Dr. Walther: Das gesamte „Hochsicherheit und Kritis“-Projekt der Cyberagentur ist mit 30 Millionen Euro veranschlagt. Das gesamte Projekt ist auf fünf Jahre angelegt, weil wir damit rechnen, dass es diese Zeit braucht, um Lösungen für die ganzheitliche Fragestellung zu entwickeln und zu testen – und womöglich sogar einen Demonstrator zu präsentieren, der zeigt, wie die entwickelte Lösung funktioniert. Details zum weiteren Verfahrensablauf werden wir nach Beendigung des Interessenbekundungsverfahren bekannt geben. Das sollte Anfang kommenden Jahres der Fall sein.