Ein Krankenhaus kann weiterhin Strom haben und doch kaum noch arbeiten: Wenn Anmeldung, Labor, Bildarchiv oder Medikamentenlogistik ausfallen, müssen Teams auf Papier, Telefon und Erfahrung zurückgreifen. Ähnlich ist es bei Wasserwerken, Stromnetzen oder Verwaltungen. Ihre Anlagen sind nicht bloß „online“; digitale Systeme planen, messen, steuern und dokumentieren Abläufe, von denen andere Leistungen abhängen.
Gerade deshalb ist „Cyberkrieg“ ein so verführerisches Wort. Es fasst Spionage, Erpressung, Sabotage und politische Einschüchterung in ein dramatisches Bild. Für das Verständnis hilft es aber wenig. Entscheidend ist nicht allein, dass jemand in ein System eindringt. Entscheidend ist, ob ein Zugriff Daten ausliest, den Betrieb stört oder eine Kette in Gang setzt, die Menschen ohne eine notwendige Leistung lässt.
Kernpunkte
- Ein digitaler Zugriff wird zur Versorgungskrise erst durch seine Wirkung auf konkrete Leistungen – nicht durch sein Etikett.
- IT und industrielle Steuerungstechnik sind miteinander verbunden, aber nicht dasselbe: Die Risiken und Schutzmaßnahmen unterscheiden sich.
- Krankenhäuser, Wasser- und Energiebetriebe brauchen neben Prävention vor allem getestete Rückfallebenen und Wiederanlaufpläne.
- Spionage, Erpressung und Sabotage können technisch ähnliche Zugänge nutzen, verfolgen aber unterschiedliche Ziele.
- Nicht jeder schwere Cybervorfall ist völkerrechtlich „Krieg“; zivile Infrastruktur bleibt im bewaffneten Konflikt besonders geschützt.
Der Weg vom Bildschirm zur Zapfstelle
Kritische Infrastruktur ist kein einzelner Computertyp. Sie umfasst Leistungen, deren Ausfall Gesundheit, Sicherheit, Wirtschaft oder das öffentliche Leben erheblich beeinträchtigen kann: Energie, Verkehr, Wasser, Gesundheitsversorgung, öffentliche Verwaltung und digitale Netze. Die EU fasst mit der NIS2-Richtlinie zahlreiche dieser Bereiche als schutzbedürftig auf und verlangt von betroffenen Organisationen unter anderem Risikomanagement, Meldung erheblicher Vorfälle und den Blick auf Lieferketten. Das ist eine nützliche Perspektive: Ein Dienst kann nicht nur am eigenen Server scheitern, sondern auch an Fernwartung, Softwarelieferanten oder Kommunikationswegen (NIS2-Richtlinie).
In vielen Anlagen treffen zwei Welten aufeinander. Informationstechnik (IT) verarbeitet etwa E-Mails, Abrechnungen, Patientendaten oder Office-Anwendungen. Operational Technology (OT) misst und steuert physische Prozesse: Pumpen, Ventile, Turbinen, Förderbänder oder Heizungen. Ein Ausfall der IT kann schon schwer genug sein, weil Planung und Kommunikation stocken. Ein Eingriff in OT kann darüber hinaus einen Prozess falsch anzeigen, fernbedienbar machen oder eine sichere Betriebsweise erschweren.
Das heißt nicht, dass jede erreichbare Steuerung unmittelbar eine Katastrophe erzeugt. Physische Schutzschichten, lokale Bedienung, Abschaltungen und Fachpersonal können eine Störung begrenzen. Umgekehrt kann ein vergleichsweise unspektakulärer IT-Ausfall große Folgen haben, wenn viele Abteilungen auf dasselbe System angewiesen sind. Die zentrale Frage lautet deshalb: Welche Funktion fällt aus, wie lange, wer hat eine manuelle Alternative – und welche andere Versorgung hängt daran?
Die US-Cybersicherheitsbehörde CISA und ihre Partner warnten 2024 vor Aktivitäten, die auf kleine OT- und Steuerungsumgebungen in Wasser-, Damm-, Energie- und Nahrungsmittelsektoren zielten. Die beobachteten Aktionen waren häufig technisch eher einfach und auf Störung ausgerichtet; zugleich können unsicher konfigurierte OT-Systeme reale physische Risiken erzeugen (CISA-Fact-Sheet zu OT). Das Beispiel ist keine Rangliste weltweiter Gefahren, macht aber den Unterschied sichtbar: Ein Angriff muss nicht besonders raffiniert sein, um an einer schlecht abgesicherten Schnittstelle auf einen empfindlichen Prozess zu treffen.
Vier Absichten, ähnliche Türen
Von außen lässt sich ein Vorfall oft zunächst nur an Symptomen erkennen. Eine Webseite ist nicht erreichbar, Dateien sind verschlüsselt, Daten tauchen auf, ein Bedienpanel zeigt falsche Werte. Die Absichten können jedoch verschieden sein.
Spionage zielt vor allem auf Wissen: Pläne, Zugangsdaten, Kommunikationsmuster oder technische Details. Sie kann lange verborgen bleiben und schafft möglicherweise eine spätere Handlungsoption, beweist aber noch keine geplante Sabotage.
Cyberkriminalität zielt häufig auf Geld. Ransomware verschlüsselt oder stiehlt Daten, um Lösegeld zu erpressen. Für Betroffene ist die Motivation nicht tröstlich: Wenn Systeme nicht verfügbar sind, kann die Arbeit trotzdem stillstehen. ENISA führt Ransomware weiterhin als besonders folgenschwere Bedrohung; DDoS-Angriffe zielen dagegen auf Verfügbarkeit und sind oft sichtbar sowie politisch-symbolisch, aber nicht automatisch lang anhaltend oder physisch wirksam (ENISA Threat Landscape).
Hacktivismus will häufig Aufmerksamkeit, politischen Druck oder eine symbolische Demütigung erzeugen. Dabei kann eine kurzzeitige Störung einer öffentlichen Website bereits genügen. Sabotage hingegen richtet sich auf die Funktionsfähigkeit selbst: Sie will Abläufe beschädigen, unterbrechen oder Manipulationen mit Folgeeffekten auslösen. Die Kategorien schließen einander nicht sauber aus. Ein Akteur kann zunächst ausspähen, später Daten veröffentlichen und in einer Krise Dienste stören. Deshalb sollten Behörden und Betreiber nicht aus einem Schlagwort auf Absicht oder Urheber schließen.
Auch Attribution bleibt schwierig. Technische Spuren können umgeleitet, Werkzeuge geteilt und Bekennerschreiben erfunden sein. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe betont, dass Cyberangriffe als Ausgangspunkt für hybride Maßnahmen wie Spionage und Sabotage dienen können (BBK zu Cyberangriffen). Daraus folgt nicht, dass jeder Ausfall Teil eines staatlichen Plans ist. Es ist ein Grund, die technische Aufklärung, die Bewertung von Folgen und politische Zuschreibungen sauber auseinanderzuhalten.
Warum Kliniken und Wasserwerke andere Maßstäbe setzen
Bei einem Onlineshop bedeutet Nichtverfügbarkeit vor allem Umsatzverlust. In einer Notaufnahme kann sie Wege verlängern, Entscheidungen verzögern und andere Häuser belasten. Eine von der US-Gesundheitsbehörde zusammengefasste Studie beobachtete, dass eine lang andauernde Ransomware-Störung eines benachbarten Krankenhauses das Patientenaufkommen und zeitkritische Versorgung in einer anderen Notaufnahme beeinflusste (ASPR TRACIE zur JAMA-Studie). Das ist eine Fallstudie, kein Beweis dafür, dass jede Ransomware-Attacke klinische Schäden verursacht. Sie zeigt aber die regionale „Blast Radius“-Logik: Eine Institution kann ausfallen, die Last wandert weiter.
Bei Wasseranlagen ist der direkte Kontakt zur physischen Welt noch augenfälliger. Programmierbare Steuerungen regeln etwa Pumpen und Dosierung. CISA dokumentierte in einer gemeinsamen Warnung Risiken durch internetverbundene Steuerungen mit unsicheren Standardzugängen in Wasser- und weiteren Sektoren (CISA Advisory zu PLCs). Daraus lässt sich keine Anleitung ableiten – und genau das sollte es auch nicht. Der sinnvolle Schluss ist organisatorisch: Betreiber müssen wissen, welche Komponenten sie haben, welche extern erreichbar sind, wer Fernzugriffe benötigt und wie ein sicherer lokaler Betrieb aussieht.
Die Schutzlogik ist daher breiter als „bessere Passwörter“. CISA, EPA und FBI empfehlen für Wassersysteme unter anderem Inventare für IT- und OT-Komponenten, weniger unnötige Internet-Exposition, geübte Reaktions- und Wiederherstellungspläne sowie Backups (gemeinsame Wasser-Empfehlungen). Bei Kliniken gehören dazu belastbare Kommunikationswege, Papierverfahren dort, wo sie sicher nötig sind, und ein geübtes Priorisieren der Versorgung. Gute Resilienz bedeutet nicht, dass kein Vorfall gelingt. Sie bedeutet, dass ein einzelner Fehler nicht ohne Weiteres die gesamte Leistungskette übernimmt.
Für Kommunen ist diese Perspektive auch beim Ausbau digitaler Systeme wichtig. Der Beitrag „KI in der Wasserwirtschaft“ zeigt, welchen Nutzen Daten für Lecksuche und Pegelprognosen haben können. Gerade weil solche Werkzeuge wertvoll sind, müssen Zuständigkeiten, Zugriffe und Rückfallmodi mitwachsen. Digitalisierung und Sicherheit sind hier keine Gegner, sondern dieselbe Betriebsfrage von zwei Seiten.
Wann ist das nun Cyberkrieg?
Im Alltag wird das Wort oft für jede geopolitisch aufgeladene Hackeraktion verwendet. Rechtlich ist es enger und komplizierter. Die Schwelle, ab wann ein Cybervorfall als Gewaltanwendung oder bewaffneter Angriff gilt, wird international diskutiert; sie hängt nicht bloß von der verwendeten Software ab, sondern unter anderem von Kontext, Folgen und Zurechenbarkeit. Außerdem gilt das humanitäre Völkerrecht nur in Situationen eines bewaffneten Konflikts.
Für diesen Fall ist die Richtung klar: Das Internationale Komitee vom Roten Kreuz betont, dass das humanitäre Völkerrecht Cyberoperationen begrenzt und Angriffe auf zivile Objekte wie Krankenhäuser, kritische zivile Infrastruktur und öffentliche Verwaltung untersagt (ICRC zur Begrenzung von Cyberoperationen). Das ist keine Erlaubnis, zwischen den Schwellen nach Belieben zu handeln. Es erinnert daran, dass die entscheidende Frage nicht nur „Wer war im System?“ lautet, sondern auch: Welche Zivilpersonen tragen die Folgen?
Für die Praxis ist deshalb ein nüchterner Wortschatz hilfreicher als Daueralarm. Betreiber und Behörden sollten Zugang, Datenverlust, Betriebsstörung, Sicherheitsbarrieren, Wiederanlauf und Folgewirkungen benennen. Öffentlichkeit und Politik können dann entscheiden, wie sie einen Vorfall einordnen, ohne technische Unsicherheit mit einer fertigen Kriegserzählung zu überdecken.
Der anspruchsvollste Teil der Vorbereitung ist nicht die perfekte Vorhersage des nächsten Angreifers. Es ist das Durchspielen einer einfachen Frage: Was muss weiterlaufen, wenn ein Bildschirm ausfällt? Wer diese Antwort für Wasser, Behandlung, Verwaltung oder Energie geübt hat, verringert die Chance, dass ein digitaler Zugriff zur Versorgungskrise wird.
Autorenprofil
Benjamin Metzig schreibt für Wissenschaftswelle über Wissenschaft, Technik und die gesellschaftlichen Folgen neuer Erkenntnisse. Mehr über ihn im Autorenprofil.
Wissenschaftswelle auf Instagram und Facebook folgen.
Schreibe einen Kommentar