Leitender Oberstaatsanwalt Markus Hartmann sieht Fortschritte bei der Bekämpfung von Cyberkriminalität. Foto: © Andreas Brück/ZAC NRW
Leitender Oberstaatsanwalt Markus Hartmann leitet die Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen (ZAC NRW) seit ihrer Gründung 2016. Seitdem hat sich vieles verbessert, dennoch wird ein Zustand völliger Sicherheit nie erreicht sein.
Herr Hartmann, welche Verbesserungen sehen Sie in den letzten Jahren beim Thema Cybersicherheit und bei Ihrer Arbeit in der ZAC?
Das Bewusstsein für die Gefahrenlage ist in Wirtschaft und Gesellschaft enorm gestiegen. Wo wir zu Beginn unserer Arbeit erst noch ein Grundverständnis für die Bedrohung schaffen mussten, wird heute nicht mehr in Frage gestellt, wie ernst man das Thema nehmen muss. Selbst in kleinen und mittelständischen Betrieben, den KMUs, gibt es kaum noch Defizite bei der Sensibilisierung. Hier hapert es eher noch an der Umsetzung. Große Unternehmen, die zur kritischen Infrastruktur gehören, wie beispielsweise Energie- oder Wasserversorger, sind hingegen oftmals sehr gut aufgestellt und haben sehr hohe Investitionen und große Kraftanstrengungen unternommen, um ihre Betriebe sicher zu machen.
Außerdem stellen wir fest, dass die Justiz selbst auch ihre Hausaufgaben gemacht hat und dem Thema eine andauernd hohe Bedeutung einräumt. Als wir 2016 gestartet sind, waren uns gut vier Stellen zugewiesen, mittlerweile sind es mehr als 40. Unser Personalansatz hat sich also verzehnfacht. Darüber hinaus arbeitet die Wirtschaft immer besser mit uns zusammen. Früher gab es noch mehr Vorbehalte, die Justiz einzuschalten. Dabei haben verschiedene Ursachen eine Rolle gespielt, etwa die Angst, die Kontrolle im eigenen Bereich zu verlieren, wenn Strafverfolger ins Haus kommen und Zugang zu Systemen und Daten bekommen. Durch unsere praktische Arbeit konnten wir solche Sorgen auflösen. Es hat sich zunehmend ein vertrauensvolles Miteinander entwickelt. Aber das Vertrauen muss in der täglichen Arbeit stets neu erworben werden.
In der Vergangenheit wurde immer wieder von Cyberattacken auf öffentliche Einrichtungen berichtet. Wie können sich Kommunen und Behörden besser schützen?
Die öffentlichen Einrichtungen waren in letzter Zeit nicht nur gefährdet, sondern auch immer stärker von tatsächlichen Angriffen betroffen. Dadurch hat sich auch der öffentliche Bereich immer stärker mit Cybersicherheit auseinandergesetzt. Das ist auch nötig, da selbst die kleinste Kommune sehr sensible Daten verwaltet. Allerdings sind eben die Ressourcen sehr unterschiedlich und die öffentliche Landschaft ist zersplittert. Selbst wenn man die nötigen Investitionen in den Haushalten berücksichtigt hat, erfordert die Umsetzung viele fachliche Kompetenzen. Hohes Potential bieten hier Zusammenschlüsse und Kooperationen. Es gibt Kommunen, die ihre Rechenzentren zusammengelegt und ihre Cybersicherheit dadurch professionalisiert haben. Da die Täter immer professioneller werden, müssen auch die Verteidiger – Behörden und Unternehmen – ihre IT-Sicherheit professionalisieren.
Man darf aber auch nicht vergessen, dass sehr überwiegend nur erfolgreiche Angriffe bei uns zur Anzeige gebracht werden oder in den Schlagzeilen landen. Wenn eine Behörde oder ein Unternehmen einen Angriff abgewehrt hat, erfährt davon in der Regel niemand. Deswegen ist das Bild insgesamt möglicherweise positiver, als wir es auf Basis unserer Ermittlungsverfahren sehen.
Gibt es immer noch typische Fehler, die solche Angriffe zulassen?
Da die Angriffe wie gesagt immer versierter und professioneller werden, fällt es mir schwer, hier mit dem Finger auf die Anwender zu zeigen. Phishing-E-Mails sind beispielswiese heute vielfach so gut gemacht, dass man keinem vorwerfen kann, auf einen entsprechenden Link zu klicken. Ausschließlich Awareness reicht nicht mehr. Man muss vielmehr dafür sorgen, dass die richtige Technik einen Angriff erfolgreich abwehrt, auch wenn ein Mensch erfolgreich getäuscht worden ist. Ein schwerwiegender Fehler wäre, sich in Sicherheit zu wiegen, weil man die neueste Firewall installiert oder einmalig bestimmte Vorkehrungen getroffen hat. Einen permanenten Zustand der Sicherheit gibt es nämlich nicht. Man muss jeden Tag neu für Sicherheit eintreten. Das ist ein ständiger Prozess.
Große Fortschritte kann man schon erzielen, indem man einfache aber gleichwohl wirksame Maßnahmen umsetzt, auch wenn sie vielleicht lästig erscheinen. Bequemlichkeit und Sicherheit stehen manchmal eben im Gegensatz zueinander. Man kann beispielsweise ohne große Aufwände Einstellungen im Betriebssystem vornehmen, die dafür sorgen, dass eine Schadsoftware gar nicht erst ausgeführt wird, auch wenn sie per Klick auf den Link in einer E-Mail heruntergeladen wurde. Das muss natürlich gepflegt und gelebt werden und ist manchmal etwas umständlicher, erhöht die Sicherheit aber enorm.
