Sicherheit ist wichtig – das gilt für alle Bereiche gleichermaßen. Eine bestimmte Art von Sicherheit gewinnt in den letzten Jahren allerdings zunehmend an Bedeutung. Die Cybersecurity, also Technologien und Verfahren zum Schutz von digitalen Netzwerken, Geräten, Daten oder Applikationen, hat mittlerweile Einzug in die unterschiedlichsten Lebens- und Wirtschaftsbereiche gehalten. Die Zahlen sprechen eine deutliche Sprache: Zwischen 2011 und 2023 stiegen die Anzeigen wegen Cyberkriminalität in Österreich von rund 5.000 auf fast 66.000; eine besonders starke Zunahme war während der Pandemie 2020 bzw. 2021 zu beobachten, als innerhalb eines Jahres um 28,6 Prozent mehr Anzeigen eingebracht wurden.

Einer aktuellen Studie von KPMG Österreich zufolge ist jeder siebte Cyberangriff im Land erfolgreich. Zu den häufigsten Angriffsarten zählen dabei Phishing-Mails, oft in Kombination mit Ransomware oder anderer Malware, aber auch Datendiebstahl oder Denial of Service-Angriffe (DoS). Oft spielen im Sinne des „Social Engineering“ psychologische Tricks und Manipulation eine zentrale Rolle. Im Gespräch mit advantage erzählen die IT-Expert:innen Elisabeth Freiberger und Christian Inzko, warum an Cybersicherheit auch in der Verwaltung kein Weg vorbeiführt.

Fünf Millionen Dollar für die Daten der Landes­verwaltung

Neben der Privatwirtschaft hat auch der Verwaltungsbereich zunehmend mit Cyberkriminalität zu kämpfen. Welche Folgen unzureichende digitale Sicherheitsmaßnahmen in der Verwaltung haben können, offenbarte sich 2022 am Beispiel der Kärntner Landesregierung. Mithilfe einer Phishing-Mail gelang es damals Hackern, einen Teil der digitalen Daten der Landesregierung zu verschlüsseln. Die Forderung: Fünf Mio. Dollar Lösegeld; andernfalls, so die Drohung, würden sensible Daten im Darknet veröffentlicht. „Dass wir damals nicht gezahlt haben, ist heute eine unserer Hauptschutzfunktionen“, meint Christian Inzko, Chief Information Officer und Chief Digital Officer beim Land Kärnten.

Inzko war lange in der Privatwirtschaft tätig und wechselte 2023 zum Land. Seine Hauptaufgabe nach der Einstellung: „Dafür zu sorgen, dass das nicht noch einmal passiert.“ Aus bereits vorhandenen Ansätzen entwickelte Inzko gemeinsam mit anderen Abteilungen Digitalisierungs- und IT-Strategien, deren Kern die Cybersecurity bildet. Eine erste wichtige Maßnahme war dabei die Einführung der Zwei-FaktorAuthentifizierung. „Den zweiten Faktor zu bekommen, ist für Hacker sehr schwierig. Als ich gesehen habe, dass das Land keine flächendeckende Zwei-Faktor-Authentifizierung hatte, hat mich das lange nicht gut schlafen lassen“, so der IT-Experte. Ein weiterer wichtiger Fokus ist die Bewusstseinsbildung bei Mitarbeiter:innen. Im digitalen Sicherheitssystem gilt der Mensch als zentrale Schwachstelle. „Dadurch, dass wir sehr große Netzwerke haben – im Land Kärnten etwa 3.600 Arbeitsplätze – ist der Einfallsvektor durch den Faktor Mensch relativ hoch“, so Inzko. Dem versucht das Land, neben zahlreichen weiteren Maßnahmen, nun durch Schulungen und Tests entgegenzuwirken.

Prävention im Fokus

Auch in der steirischen Landesregierung wird IT-Sicherheit seit vielen Jahren groß geschrieben. „Das Thema Cybersecurity ist ein täglicher Begleiter in unserer Arbeit. Es gibt praktisch kein Vorhaben, kein Projekt, das nicht unter dem Aspekt der IT-Sicherheit zu betrachten ist“, erzählt Elisabeth Freiberger, Abteilungsleiterin im Bereich Organisation und Informationstechnik. Auch hier werden alle Landesbediensteten regelmäßig geschult; sogar ein Lehrgang zur Digitalisierung in Kooperation mit der FH Joanneum wird angeboten. Dabei ist für Freiberger klar, dass das Thema weit über die Grenzen ihrer Abteilung hinausreicht: „IT-Sicherheit ist eine gesamtorganisatorische Verantwortung“, betont sie. Dass die steirische Landesregierung noch nie Opfer eines erfolgreichen Hackerangriffs war, ist für sie kein Grund, sich in falscher Sicherheit zu wiegen: „Es ist keine Frage, ob wir angegriffen werden, es ist die Frage, wie wir angegriffen werden – und wie wir uns bestmöglich schützen können.“

Das Tor zur Cyber­kriminalität

Die Profile der Täter, die hinter PhishingMails, Malware oder Deep Fakes stecken, sind unterschiedlich und reichen von jugendlichen „Skript Kiddies“ über Mitarbeiter:innen, die ihre Unternehmen schädigen wollen bis hin zu professionell organisierten Gruppierungen und politisch motivierten Tätern. In Summe gilt: Cyberkriminalität ist heute viel mehr als einzelne IT-Profis im dunklen Kämmerchen. „Mittlerweile steckt eine ganze Industrie dahinter, in der Umsätze in Milliardenhöhe erzielt werden“, erzählt Inzko. Wichtigster Treffpunkt dieser Szene ist das sogenannte Darknet – ein digitaler Umschlagplatz für Drogen, gefälschte Dokumente und nicht zuletzt für illegal beschaffte Daten. Das Besondere: Im Darknet bleiben Nutzer:innen anonym, was Kriminellen einen wichtigen Schutz bietet. Der Zugang ist nur über einen speziellen Browser und mithilfe sogenannter Onion-Links möglich; Versuche, die Straftaten aufzuklären, scheitern meist.

Eine zusätzliche Herausforderung ist aktuell der Einsatz von Künstlicher Intelligenz. Sie wird nicht nur für Deep Fakes genutzt, sondern ermöglicht mithilfe äußerst userfreundlicher, im Darknet erhältlicher Software inzwischen auch Laien die Umsetzung professioneller Cyberangriffe. „Die KI ist zweischichtig zu sehen; einerseits hilft sie uns bei der Abwehr, andererseits werden die Angriffe auch immer komplexer – und viel leichter durchzuführen für einen größeren Userkreis“, so Inzko.

Verantwortungs­sache Cyber­security

Für beide Expert:innen ist klar: Eine stimmige IT-Sicherheitsstrategie ist eine Frage der Verantwortung. „Daten haben einen Wert“, appelliert Inzko und ergänzt: „Sicherheit ist ein Thema, das die Verantwortlichen und Führungskräfte wirklich ernst nehmen müssen. Der Schaden kann enorm sein, und hier zu sparen ist einfach fahrlässig.“ Und Freiberger schließt sich an: „Ein Hackerangriff, der die Verwaltung trifft oder gar lahmlegt, ist eine Katastrophe – nicht nur kostenseitig, sondern auch für den Betrieb, denn die Verwaltung muss im staatlichen Gefüge immer funktionieren. Daher muss unser oberstes Gebot die Gewährleistung der Verfügbarkeit und Sicherheit der IT-Services sein.“