Kritische Infrastrukturen (KRITIS) sind Systeme und Einrichtungen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit und das gesellschaftliche Leben haben kann. Dazu zählen unter anderem die Sektoren Energie, Transport, Gesundheit und Informationstechnik, deren Funktionsfähigkeit für das wirtschaftliche und soziale Wohl unerlässlich ist. Betreiber von KRITIS sind gesetzlich dazu verpflichtet, umfassende Maßnahmen zum Schutz vor physischen und cyberbezogenen Bedrohungen zu implementieren und regelmäßig zu überprüfen. Führungspersonen in diesem Bereich benötigen daher spezifische technische und organisatorische Kompetenzen, um die komplexen Sicherheits- und Risikomanagementanforderungen zuverlässig zu erfüllen.

1. Grundverständnis: Was sind Kritische Infrastrukturen?

Unter Kritischen Infrastrukturen versteht man Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit und Ordnung, die Gesundheit und das wirtschaftliche Wohlergehen eines Landes haben könnte. Diese Infrastrukturen sind oft eng miteinander vernetzt und voneinander abhängig. Hierzu gehören insbesondere die Sektoren:

• Energie (z.B. Strom- und Wasserversorgung)
• Transport und Verkehr (z.B. Bahnbetriebe, Flughäfen)
• Finanzen und Versicherungen (z.B. Banken, Zahlungsverkehr)
• Gesundheit und Medizin (z.B. Krankenhäuser, Apotheken)
• Kommunikation und IT (z.B. Telekommunikationsanbieter, Internetdienste)

Da die Bedeutung dieser Sektoren für die Gesellschaft immens ist, unterliegen sie strikten gesetzlichen Vorgaben und Regulierungen, wie z. B. dem IT-Sicherheitsgesetz 2.0 in Deutschland, das KRITIS-Unternehmen verpflichtet, Sicherheitsmaßnahmen zu implementieren und Angriffe zu melden.

2. Technische Kompetenzen: IT-Sicherheit und Risikomanagement

2.1 Netzwerk- und IT-Sicherheitsarchitekturen
KRITIS-Leitungen müssen die Sicherheitsarchitekturen ihrer Netzwerke verstehen, um Bedrohungen gezielt abwehren zu können. Dazu gehören Kenntnisse über Netzwerksicherheit (Firewalls, Intrusion Detection/Prevention Systems) sowie über die Segmentierung und den Schutz von Netzwerkzonen (z. B. dem Einsatz von VLANs oder DMZs). Ein besonderes Augenmerk gilt dabei der Reduzierung von Angriffspunkten (Attack Surface Management) und dem Schutz kritischer Systeme vor internen und externen Bedrohungen.

2.2 Cyber-Bedrohungsanalyse und -Abwehr
Ein solides Verständnis der aktuellen Bedrohungslandschaft ist notwendig, um gezielt auf Cyber-Angriffe reagieren zu können. Hierfür sollten Führungskräfte Kenntnisse über folgende Aspekte besitzen:

• Malware-Erkennung und -Abwehr: Leitungspersonen müssen ein Verständnis für verschiedene Arten von Malware wie Ransomware, Trojaner und Advanced Persistent Threats (APT) entwickeln, die häufig in KRITIS-Umgebungen vorkommen.
• SIEM-Systeme (Security Information and Event Management): SIEMs analysieren in Echtzeit sicherheitsrelevante Daten und helfen, Bedrohungen zu erkennen und zu korrelieren. Die Nutzung dieser Systeme ermöglicht eine schnelle Reaktion und forensische Untersuchungen.
• Incident Response und Forensik: Eine klare Vorstellung über den Ablauf der Incident-Response-Prozesse (IRP) und den Einsatz forensischer Techniken zur Erkennung und Analyse von Sicherheitsvorfällen ist unabdingbar, um bei Zwischenfällen effektiv eingreifen zu können.

2.3 Cloud-Sicherheit und hybride Infrastrukturen
Viele KRITIS-Unternehmen verlagern Systeme in die Cloud oder betreiben hybride Infrastrukturen. Daher sollten Führungskräfte ein Verständnis für die Cloud-Sicherheitsarchitektur, insbesondere von Cloud-Security-Modellen (wie das Shared Responsibility Model), Zero-Trust-Ansätze sowie die besonderen Sicherheitsanforderungen hybrider Netzwerke mitbringen.

3. Organisatorische Kompetenzen: Management von Risiken, Compliance und Krisen

3.1 Risikomanagement und Business Continuity
Da KRITIS-Betreiber besonders stark gefährdet sind, sollten Leitungspersonen ein tiefgehendes Verständnis im Risikomanagement haben. Dazu gehören:

• Risikoanalysen und -bewertung: Analyse der Risiken, die aus internen Schwachstellen und externen Bedrohungen resultieren, und Bewertung der möglichen Auswirkungen auf die Organisation.
• Business Continuity Management (BCM): BCM stellt sicher, dass die Organisation im Krisenfall betriebsbereit bleibt. Führungskräfte sollten BCM-Pläne erstellen und testen können, um den Fortbestand kritischer Dienste zu gewährleisten.
• Disaster Recovery (DR): DR-Strategien sorgen dafür, dass der Betrieb nach einem vollständigen Systemausfall schnellstmöglich wiederhergestellt werden kann. DR-Tests und Redundanzplanung sind wichtige Pfeiler für die Sicherstellung von Ausfallsicherheit.

3.2 Rechtliche Compliance und Regularien
In Deutschland und der EU unterliegen KRITIS-Betreiber strengen Vorschriften:

• IT-Sicherheitsgesetz 2.0: Verpflichtet Unternehmen zur Umsetzung von IT-Sicherheitsmaßnahmen und zur Meldepflicht von Sicherheitsvorfällen.
• NIS-Richtlinie: Die NIS-Richtlinie der EU setzt Standards für Netz- und Informationssicherheit.
• DSGVO: Besonders der Schutz personenbezogener Daten ist für KRITIS-Betreiber von hoher Bedeutung. Verstöße können nicht nur rechtliche Konsequenzen, sondern auch Imageschäden nach sich ziehen.
  Kenntnisse in diesen gesetzlichen Regelwerken sind essenziell, um Compliance sicherzustellen und entsprechende technische und organisatorische Maßnahmen zu treffen.

3.3 Schulung und Sensibilisierung der Mitarbeiter
Leiterinnen und Leiter müssen darauf achten, dass alle Mitarbeitenden über mögliche Sicherheitsrisiken informiert sind und die notwendigen Sicherheitsmaßnahmen einhalten. Dies erfordert den Aufbau eines kontinuierlichen Awareness-Programms, das das Sicherheitsbewusstsein schärft und die Compliance-Fähigkeit der Organisation stärkt.

4. Praktische Beispiele: Umsetzungsstrategien und Herausforderungen

Beispiel 1: Energieversorger und Angriffe auf SCADA-Systeme
Ein Energieversorgungsunternehmen setzt ein Supervisory Control and Data Acquisition (SCADA)-System zur Überwachung und Steuerung des Stromnetzes ein. Eine erfolgreiche Attacke auf das SCADA-System kann massive Störungen verursachen. Leitungspersonen müssen daher sicherstellen, dass die SCADA-Systeme durch spezielle Firewalls und Anomalie-Erkennungssysteme geschützt sind und regelmäßig auf Schwachstellen überprüft werden.

Beispiel 2: Bankwesen und Distributed Denial of Service (DDoS)-Angriffe
Banken sind häufig Ziel von DDoS-Angriffen, die den Zugriff auf Online-Dienste blockieren können. Führungskräfte müssen in der Lage sein, Strategien zur Abwehr von DDoS-Angriffen zu entwickeln, etwa durch redundante Serverstrukturen, DDoS-Schutzmaßnahmen und proaktive Überwachung von Verkehrsanomalien.

Beispiel 3: Krankenhaus-IT und Ransomware-Bedrohungen
Krankenhäuser sind ein beliebtes Ziel von Ransomware, die IT-Systeme sperrt und oft hohe Lösegeldforderungen stellt. KRITIS-Leiter in der Gesundheitsbranche müssen dafür sorgen, dass die IT-Infrastruktur regelmäßig gesichert wird und Notfallpläne existieren, um auch ohne IT-Systeme die medizinische Versorgung sicherzustellen.

5. Vor- und Nachteile der Aufgabenverteilung in KRITIS-Unternehmen

Vorteile:

• Hohe Sicherheitsstandards: KRITIS-Anforderungen schaffen stabile und sichere Arbeitsprozesse und erhöhen die Resilienz der Infrastruktur.
• Professionalisierung des Risikomanagements: Die kontinuierliche Risikoüberwachung und Business Continuity verbessern die Anpassungsfähigkeit in Krisensituationen.
• Schutz der öffentlichen Sicherheit: Eine erfolgreiche Prävention und Abwehr von Bedrohungen in KRITIS-Unternehmen hat direkten Einfluss auf das Wohl der Bevölkerung und das Funktionieren der Gesellschaft.

Nachteile:

• Hoher Aufwand und Kosten: Die Implementierung von Sicherheitsmaßnahmen und Notfallplänen sowie die Einhaltung von Compliance-Vorgaben verursachen hohe finanzielle und personelle Aufwendungen.
• Fachkräftemangel: Die Nachfrage nach spezialisierten IT-Experten übersteigt in vielen Fällen das Angebot, was die Besetzung sicherheitskritischer Positionen erschwert.
• Regulatorische Hürden: Strikte gesetzliche Anforderungen und Meldepflichten sind notwendig, aber auch komplex und kostenintensiv in der Umsetzung.

6. Fazit

Für die Leitung einer Kritischen Infrastruktur sind eine Vielzahl von Kompetenzen notwendig, die technisches Wissen, rechtliche Kenntnisse und Führungsfähigkeiten umfassen. Insbesondere im Bereich der IT-Sicherheit und des Risikomanagements müssen Leiter in der Lage sein, proaktiv auf Bedrohungen zu reagieren und langfristig sichere, widerstandsfähige Strukturen aufzubauen. Ein hohes Maß an Flexibilität, eine gute Kenntnis der regulatorischen Rahmenbedingungen und ein starkes Team sind wichtige Pfeiler für den Erfolg in diesem herausfordernden Bereich. Letztendlich trägt eine gut geführte und gesicherte KRITIS-Organisation wesentlich zur Stabilität und Sicherheit der gesamten Gesellschaft bei.

Autor

Michael Deinhard

Artikel erstellt: 01.11.2024
Artikel aktualisiert: 10.06.2025

zurück zur Übersicht