»Die Situation ist beschissen, aber nicht hoffnungslos« aus dem Mund eines CDU-Landrates , ein Zitat für die Ewigkeit. Diese großartige Lagebeschreibung von fäkaler Ehrlichkeit gilt einem Ereignis, das man vielleicht als Beginn oder Symbol einer neuen Epoche werten kann. Denn am Freitag, dem 9. Juli 2021 ist in Deutschland zum ersten Mal überhaupt ein digitaler Katastrophenfall ausgerufen worden. Der Landkreis Anhalt-Bitterfeld ist weitgehend handlungsunfähig, weil seine IT-Infrastruktur einem Hackerangriff zum Opfer fiel. Die Verwaltung steht größtenteils still. Eine Vielzahl administrativer Vorgänge ist nicht mehr möglich, etwa die Auszahlung der Sozialhilfen , weil diese – anders als etwa das Arbeitslosengeld – von den Kommunen organisiert werden.

Der erste Cyber-Katastrophenfall wurde oberflächlich betrachtet durch eine Ransomware verursacht. So bezeichnet man Schadsoftware, die sich Schwachstellen in vernetzten Systemen sucht, dann meist Daten verschlüsselt und die ursprünglichen Nutzer erpresst. Den Entschlüsselungscode gibt es nur gegen die Zahlung eines Lösegelds, meist in Form von Kryptowährung.

Schaut man sich aber die Hintergründe solcher Fälle an, ergibt sich meistens ein anderes Bild. Denn diese Angriffe treffen nicht immer, aber in vielen Fällen diejenigen, die sich schlecht oder gar nicht auf die Unwägbarkeiten der digitalen Gesellschaft vorbereiten. Im vorliegenden Fall war das Einfallstor vermutlich eine Microsoft-Sicherheitslücke im Zusammenhang mit der Druck-Funktion, vor der das Unternehmen am 1. Juli warnte , weil sie bereits aktiv ausgenutzt wurde. Einen Patch gab es noch nicht, aber Microsoft riet zu einer Übergangslösung, bis man ein Sicherheitsupdate anbieten könne – was dann am 7. Juli geschah. Die IT des Landkreises wurde wohl am 6. Juli kompromittiert.

An der Sicherheitslücke an sich kann man wenig ändern, wenn man nicht Microsoft ist. Aber dass man derlei Warnung ernst nehmen und sofort handeln muss, weil gut organisierte Kriminelle rasend schnell auf neue Schwachstellen reagieren, gehört zu den Erkenntnissen, die im 21. Jahrhundert allzu viele Menschen und Institutionen bitter lernen mussten und noch müssen.

Schadsoftware kann man bekannterweise gut mit der Metapher von Krankheiten betrachten, sie treffen potenziell fast alle – aber besonders gefährdet sind diejenigen, die eine zu schwache Abwehr haben. Aus welchen Gründen auch immer. Daher kann man eben von einer neuen Epoche sprechen: Die Zeit der digitalen Pandemien zieht herauf. Und Deutschland ist als digitalverses, bei Mensch und Material vergleichsweise altes Land miserabel vorbereitet.

Der digitale Katastrophenfall eignet sich als Symbol für die neue digitalpandemische Zeit, weil er nicht monolithisch in der Gegend rumsteht. Im Gegenteil sind Ransomware-Angriffe seit Jahren auf dem Vormarsch und werden immer ausgefeilter (wie fast alle digitalen Attacken). Das ist im Digitalen, als würde das Coronavirus immer klüger und aggressiver – und die Gegenmaßnahmen immer umfassender, kostspieliger und schneller notwendig.

Für eine Art Zeitenwende spricht auch ein globaler Spionageangriff, der im Dezember 2020 entdeckt wurde und unter dem Namen des hauptsächlich betroffenen Unternehmens  bekannt wurde: SolarWinds. In den pandemischen Wirren ist dieses scheinbar sehr spezifisch digitale Thema ziemlich untergegangen und hat daher kaum für öffentliche Aufmerksamkeit gesorgt. Zu Unrecht, wie ein paar Zitate von Fachleuten zeigen: »Das ist eine fundamental andere Art  von Attacke« (als alles bisher beobachtete), sagte der ehemalige stellvertretende FBI-Chef. Die Nachrichtenagentur AP zitierte einen US-Beamten: »Es sieht so aus, als wäre dies der schlimmste Hacking-Fall in der Geschichte Amerikas … Sie sind in alles eingedrungen. « Microsoft-Präsident Brad Smith sprach sogar von der »größten und raffiniertesten Attacke  aller Zeiten«, auch wenn das Untersuchungsergebnis seiner Sicherheitsabteilung, demzufolge »über 1.000 Softwareingenieure« an diesem Angriff beteiligt waren, von anderen Fachleuten belächelt wurde.

Digitaler Katastrophenfall als neue Normalität

Der Trick war jedenfalls clever: SolarWinds ist eine Firma, die IT-Infrastruktur für Unternehmen und Institutionen anbietet und aus Sicherheitsgründen natürlich regelmäßig Updates einspielen muss. Genau dieser Mechanismus wurde infiltriert und auf diese Weise wurde die Schadsoftware »Sunburst« an über 18.000 Betroffene ausgespielt – obwohl diese eigentlich alles richtig gemacht hatten. Wie als kleines Schmankerl für Weltuntergangfans war auch die NNSA betroffen,  die National Nuclear Security Administration – also die Behörde, die für Sicherheit und Betrieb der US-Atomwaffen verantwortlich ist. Größter Trost damals: Die Täter konnten und wollten angesichts der Masse gar nicht alle infizierten Systeme ausspionieren.

In Deutschland müssen wir erkennen, dass der digitale Katastrophenfall zu einer neuen Regelmäßigkeit, beinahe Normalität werden wird. Schon 2019 hat sich mit der Emotet-Attacke auf das Berliner Kammergericht  offenbart, wie anfällig staatliche Systeme für Angreifende aller Art sein können. Insbesondere, wenn wie in Deutschland alles in Grund und Boden gespart wurde und noch wird. Eine Gerichtsmitarbeiterin sagte damals: »Es gab hier im Haus immer wieder Kritik an ausbleibenden Back-ups, Schulungen und Sicherheitsupdates, die mutmaßlich aus Kostengründen eingespart wurden«. Es liest sich wie ein schlechter Gag der EDV-Abteilung, aber das Kammergericht verwendete (unter anderem) das Betriebssystem Windows 95. Das nicht zufällig so heißt, sondern eben 1995 veröffentlicht wurde; 2001 wurde die Unterstützung seitens Microsoft eingestellt.

Wie man allerdings an der SolarWinds-Attacke – wo auch digital hervorragend aufgestellte Firmen betroffen waren – erkennen musste, gibt es keine einfache Lösung für Sicherheit im Zeitalter der digitalen Pandemien. Und schon gar keine rein technische. Wenn man gegen die Coronapandemie drei zentrale Maßnahmen herausheben wollte, dann wären es wohl Masken, Lockdowns und Impfungen. Für die kommenden digitalen Pandemien gibt es durchaus ungefähre Entsprechungen:

• regelmäßige Updates bzw. Erneuerung der verwendeten Software,

• digitale Sicherheit nicht als selbstverständlich zu begreifen, sondern als bewussten, erlernbaren Prozess,

• und schließlich ein digitales Mindset zu entwickeln – also ein gewisses kenntnisgetriebenes Gespür für digitale Zusammenhänge.

Diese Basics für Laien helfen umso mehr, je verbreiteter sie sind. Denn wie bei biologischen Pandemien gibt es eine Art abgeschwächter Herdenimmunität, weil jede digital leicht angreifbare Person zugleich ein Risiko für ihr gesamtes Umfeld, privat und beruflich, darstellt.

Gerade bei Corona wird oft davor gewarnt, »Panikmache« zu betreiben. Panik ist selten eine gute Leitemotion – aber ein wenig mehr konkrete, zielgerichtete Furcht vor digitalen Pandemien wäre durchaus sinnvoll. Denn noch immer unterschätzen die meisten Menschen und leider auch viele Verantwortliche, wie schnell und umfassend digitale Attacken zur Katastrophe eskalieren können. Im Landkreis Anhalt-Bitterfeld dürften inzwischen nur noch wenige Menschen innerhalb der Administration digitale Sicherheit für irrelevant halten.