Was ist das BSI?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde 1991 ins Leben gerufen und ist zuständig für Deutschlands Cybersicherheit. Es untersteht dem Bundesinnenministerium von SPD-Ressortchefin Nancy Faeser. Seit seiner Gründung ist das BSI für den Schutz der Regierungsnetze verantwortlich, beobachtet aber auch die Gefährdungslage für Unternehmen und Privatpersonen durch Hackerangriffe oder Schadsoftware. Die Spezialisten entwickeln verbindliche Sicherheitsstandards für Bundesbehörden und Betreiber kritischer Infrastrukturen (etwa Energie, Transport und Verkehr). Einmal im Jahr legt die Behörde seine Analyse zur "Lage der IT-Sicherheit" in Deutschland vor.
Wie steht es im Allgemeinen um Deutschlands Cybersicherheit?
Die Lage sei "angespannt bis kritisch", teils "besorgniserregend". Die "Bedrohung im Cyberraum" sei "so hoch wie nie zuvor", heißt es im Lagebericht. Durch die anhaltende Digitalisierung und zunehmende Vernetzung in sämtlichen Bereichen – ob in Gesellschaft, Wirtschaft oder Staat – würden die teils schon bestehenden Angriffsflächen nochmals größer.
Insbesondere bei Software-Produkten, also Computerprogrammen oder Handy-Apps, sei die Bedrohungslage gewachsen. Dort registriere das BSI "immer mehr Schwachstellen", entsprechend nehme auch der potenzielle Schaden zu. Diese Sicherheitslücken seien oft das erste Einfallstor für Cyberkriminelle, um Netzwerke mit Schadsoftware zu infiltrieren.
"Kleine und mittlere Unternehmen sowie besonders Kommunalverwaltungen und kommunale Betriebe wurden überproportional angegriffen", stellen die Beamten fest. Angriffe seien immer schwieriger als solche erkennbar, warnt das BSI, die Cyberkriminalität habe sich professionalisiert.
Und im Besonderen? Was bereitet dem BSI die größte Sorge?
Die größte Bedrohung ist und bleibt "Ransomware", stellt die Behörde fest. Bereits im Lagebericht 2022 warnte das BSI vor den digitalen Erpressungsversuchen, bei denen sich Angreifer in Netzwerke einschleusen, um erst Daten abzugreifen und dann zu verschlüsseln. Für die Entschlüsselung fordern sie anschließend Lösegeld von den Opfern. Oft werde der Diebstahl mit der Drohung verknüpft, die meist sensiblen Daten zu veröffentlichen. Das soll den Druck erhöhen.
Hier beobachtet das BSI mittlerweile eine Verlagerung der Attacken: Nicht mehr nur große und zahlungskräftige Unternehmen gerieten dabei ins Visier von Kriminellen, sondern zunehmend auch kleine und mittlere. Auch staatliche Institutionen und Kommunen würden häufiger zur Zielscheibe, oft mit unmittelbaren Auswirkungen auf die Bürger.
Betroffen seien demnach Kommunen jeder Art und Größe. "Häufig waren die Stadt- oder Kreisverwaltungen direkt betroffen; jedoch wurden auch Nahverkehrsbetriebe, städtische Energieversorger oder Wohnungsbaugesellschaften, Stadtreinigungsbetriebe und ein Schulamt mit Zuständigkeit für 75 Schulen angegriffen", heißt es. Im Juni 2022 hätten nach einem "besonders weitreichenden Ransomware-Angriff" alle Rathäuser eines ganzen Landkreises sowie mehrere kommunale Betriebe einer angrenzenden kreisfreien Großstadt, darunter der Betrieb für den Nahverkehr, vom Internet getrennt werden müssen.
Was fällt in diesem Jahr besonders auf?
Das BSI wirft mittlerweile ein besonderes Augenmerk auf Künstliche Intelligenz. Kam dem Thema im vergangenen Jahresbericht eher eine kleinere Rolle zu, ist der potenziellen Missbrauchsgefahr durch Chatbots wie ChatGPT nun ein eigenes Kapitel gewidmet. Viele Szenarien werden darin noch im Konjunktiv durchdekliniert – die Gedankenspiele machen allerdings deutlich, welche potenziellen Gefahren das BSI in der Zukunftstechnologie sieht.
Das Wichtigste aus der Bundespolitik auf einen Blick
Abonnieren Sie unseren kostenlosen Hauptstadt-Newsletter – und lesen Sie die wichtigsten Infos der Woche, von unseren Berliner Politik-Expertinnen und -Experten für Sie ausgewählt!
- So könne schon von den Anfragen, mit denen Nutzer den Datenschatz einer KI füttern, eine Bedrohung ausgehen: Seien diese etwa falsch oder voreingenommen, könnte die KI diese auch falsch oder voreingenommen wiedergeben. "Das kann Aussagen über bestimmte Marken oder Produkte betreffen, aber zum Beispiel auch Bewertungen von Menschen, Institutionen oder politische Tendenzen, wenn Modelle beispielsweise tendenziöse Aussagen aus sozialen Medien übernehmen", heißt es. Zumal diese Daten-Basis auch gezielt manipuliert werden könnte.
- Selbst wenn Chatbots darauf trainiert seien, bestimmte Antworten nicht zu geben: "Angreifer können dieses Verhalten umgehen, um ein Modell für Angriffe zu missbrauchen." Es müsse nur ein bestimmter Kontext suggeriert werden. "Beispielsweise konnten dem Modell Hassbotschaften oder Anleitungen zum Bombenbau als Antwort entlockt werden, wenn man vorgab, diese Informationen als Grundlage für einen warnenden Artikel zu benötigen und damit Gutes zu tun", nennt das BSI als ein Beispiel.
- Auch sogenannte "Deep Fakes" – manipulierte Bilder, Videos und Stimmen – würden an Qualität gewinnen. Für Laien sei es beispielsweise kaum noch möglich, die KI-generierte Stimme eines Politikers vom Original zu unterscheiden. Die zunehmende Echtzeitfähigkeit dieser Manipulationen werde schon in "absehbarer Zeit" dafür sorgen, dass man in Onlinemeetings nicht mehr sicher sein könne, ob man mit der realen Person spreche oder nicht.
Grundsätzlich hält das BSI fest: Durch den mittlerweile leichten Zugang zu Chatbots und anderen KI-Modellen könnte auch die Zahl potenzieller Angreifer wachsen, die KI als Werkzeug kriminelle Zwecke missbrauchten. Perspektivisch könnte das die Kapazitäten der Strafverfolgungsbehörden "stark" auslasten. Das BSI rechnet folglich mit mehr Cyberkriminalität. Künstliche Intelligenz biete zwar neue Chancen, aber auch neue Risiken – und stelle damit eine nie dagewesene Herausforderung dar.
Welche Rolle spielen die Kriege in der Ukraine und in Nahost?
Im vergangenen Lagebericht war der russische Angriffskrieg auf die Ukraine – und seine Folgen für die IT-Sicherheitslage in Deutschland – eines der zentralen Themen. Laut BSI komme es in diesem Kontext immer noch zu einer Reihe von pro-russischen Hackerangriffen, die vornehmlich auf die Verfügbarkeit von Internetdiensten abzielten und diese durch ihre schiere Masse lahmlegen sollen. Aber, das ist vielleicht die gute Nachricht: Die registrierten Angriffe hätten bisher nur wenig bis keinen bleibenden Schaden anrichten können. Obwohl sich die Angriffe verstetigt und verstärkt hätten. Das BSI sortiert die bisherigen Angriffe eher in den Bereich Propaganda, die Verunsicherung stiften und das Vertrauen in den Staat untergraben sollen.
Der Krieg gegen Israel spielt in dem Bericht praktisch keine Rolle: Der Bericht beleuchtet den Zeitraum vom 1. Juni 2022 bis 30. Juni 2023, der Angriff der palästinensischen Terrororganisation Hamas (am 7. Oktober) und mögliche Auswirkungen auf Deutschlands Cybersicherheit sind nicht berücksichtigt.
Wie lautet das Fazit des BSI?
Es ist eigentlich eine Binse: In einer umfassend vernetzten Gesellschaft gebe es keine hundertprozentige Sicherheit, urteilt das BSI. Es beschreibt aber auch die volatile Lage: Durch die rasante Entwicklung in Bereichen wie der Künstlichen Intelligenz sei die Bedrohungslage folglich von einer hohen Dynamik geprägt. Deswegen sei "Cyberresilienz" das "Gebot der Stunde". Gemeint: Die Widerstandsfähigkeit gegen potenzielle Angriffe muss erhöht werden, fordert die Behörde. Etwa durch mehr qualifizierte IT-Sicherheitsexperten auf der "Abwehrseite", die Sicherheitslücken frühzeitig erkennen und schließen.
Sowohl der Staat als auch die Zivilgesellschaft stünden den vielfältigen Bedrohungen nicht wehrlos gegenüber, heißt es in dem Bericht, sie müssten aber entsprechende Vorsorge betreiben, um auch im Falle eines erfolgreichen Angriffs die negativen Folgen abmildern zu können.
