Ohne sie läuft fast nichts. Würde sie attackiert, stünde das Land still: Die Stromversorgung zählt zu den kritischen Infrastrukturen – ihr Ausfall wäre dramatisch. Im Konjunktiv formuliert, tönt das ziemlich fern. Allerdings zählt ein grossflächiges Blackout zu den folgenreichsten Katastrophenszenarien. Seine Auswirkungen könnten laut Expertenmeinungen weitaus gravierender sein als die einer Pandemie.
Ein Cyberangriff auf das Stromnetz? Hacker könnten wichtige Systeme mit Schadsoftware infizieren. Die Kontrolle erlangen. Und schlimmstenfalls die Versorgung ausschalten. Wie anfällig das hiesige Netz ist, zeigt eine Umfrage, die das Bundesamt für Energie im Juli vorgelegt hat. Demnach sind die hiesigen Stromversorger schlecht gerüstet, wenn es darum geht, Angriffe zu erkennen, darauf zu reagieren und die Systeme nach einem Vorfall wiederherzustellen.
Im Fokus steht auch jener Betrieb, der dafür sorgt, dass der Strom vom Produzenten bis in die Steckdose kommt: Die Netzgesellschaft Swissgrid betreibt sämtliche Hochspannungsleitungen des Landes. Das hiesige Übertragungsnetz gehöre zu den sichersten und zuverlässigsten der Welt, versichert die Gesellschaft jeweils. Genauer äussert sie sich nicht dazu – was im Bundeshaus auch schon zu kritischen Nachfragen geführt hat. Eine Swissgrid-Sprecherin erklärt:
Klar ist: Hackerangriffe werden raffinierter und zahlreicher. Insidern zu Folge rüstet Swissgrid in der Cyber-Security derzeit ordentlich auf. Man unternehme «alle notwendigen Schritte, um die Sicherheit der Systeme für den sicheren Betrieb des Übertragungsnetzes der Schweiz zu gewährleisten», betont die Sprecherin. Was das genau heisst, lässt sich dank öffentlicher Quellen nachzeichnen.
Die Netzgesellschaft holt sich zurzeit Spezialisten ins Haus. Nach öffentlichen Ausschreibungen vergab sie Aufträge in Millionenhöhe. Mehrfach zum Zug kam die Oneconsult AG aus dem Kanton Zürich. Soeben wurde die Cyber-Security-Firma für 8.1 Millionen Franken verpflichtet, in den kommenden Jahren das Sicherheitsdispositiv von Swissgrid zu überprüfen.
Zum Einsatz kommen sollen eigentliche Profi-Angreifer. Ihr Job wird es sein, die Systeme von Swissgrid gezielt zu attackieren, um Schwachstellen zu identifizieren. Dabei simulieren sie nicht nur Angriffe verschiedenster Art. Die Oneconsult AG soll gemäss Auftragsvergabe ein Red Team zur Verfügung stellen. Hacker nehmen dabei die Rolle der Bösen ein – nach allen Regeln der Kunst.
Das Red Team greift die Systeme des Kunden an. Es versucht, die Sicherheitsmassnahmen zu durchbrechen, fehlerhafte Konfigurationen auszunutzen und in die Computer einzudringen. Abgewehrt werden die Attacken in der Regel von einem Blue Team, das die Verteidigung übernimmt. So sollen Schwachstellen unterschiedlichster Natur identifiziert werden. Der Grundgedanke dahinter: Solange ein System nicht im laufenden Betrieb angegriffen wird, kann man nicht wissen, wie sicher es ist.
Bereits 2019 vergab Swissgrid einen kleineren Hackingauftrag, wie der «Tages-Anzeiger» damals publik machte. Der Zuschlag ging ebenfalls an die Oneconsult AG. Weitere Aufträge sind derzeit ausgeschrieben.
Verstärkung holen sich die Hüter des Stromnetzes auch intern. Aktuell sucht Swissgrid nach mehreren Fachleuten für die Cyber-Security-Einheit. Sie sollen laut Jobinserat beim Ausbau dieser Abteilung mithelfen; demnach arbeiten aktuell zehn Leute im Team. Zum Aufgabenprofil der neuen Stellen gehören unter anderem die «Stärkung der Sicherheitskultur» und «Massnahmen zur Risikoreduktion».
Offenbar will Swissgrid fortan nicht nur im stillen Kämmerlein wirken. Eine Kaderperson soll damit betraut werden, Sicherheitsfragen gegenüber Verwaltung und Politik zu vertreten. Gemäss Jobinserat soll sie sich in die öffentliche Diskussion einmischen und bei regulatorischen Themen mitreden.
Allgemein gilt der Schutz der kritischen Infrastrukturen in der Schweiz als eher lückenhaft –die Vorschriften sind nicht so streng wie anderswo. So gibt es bisher keine allgemeine Pflicht, Hackerangriffe den Behörden zu melden. Eine entsprechende Verordnung dürfte erst 2023 in Kraft treten. Wenn sich Betroffene heute an die Melde- und Analysestelle Melani beim Bund wenden, tun sie dies freiwillig. Immerhin: Swissgrid zählt bereits zum festen Kundenkreis von Melani.
Macht zwar das Betreiben aufwändiger, aber gleichzeitig auch deutlich sicherer.
Ich gehe eigentlich davon aus, dass dies so gemacht wird.