Der Europäische Rat hat am Montag eine scharfe Rüge gegen Russland ausgesprochen. Er wirft Moskau vor, ein komplexes Netzwerk aus staatlichen und privaten Akteuren für verheerende Cyberoperationen zu nutzen. Laut einer Erklärung der EU-Außenbeauftragten Kaja Kallas und der Mitgliedstaaten reicht dieses System von Geheimdiensten über Cyberkriminelle und Hacktivisten bis hin zu Unternehmen. Die EU verurteilt diese Aktivitäten und reagiert mit Sanktionen, um die Verantwortlichen für weltweite Sabotage- und Spionagekampagnen zur Rechenschaft zu ziehen, die teils bis 2010 zurückreichen.

Im Mittelpunkt der Vorwürfe steht das sogenannte 16. Zentrum des russischen Inlandsgeheimdienstes FSB. Diese Einheit soll laut dem Rat zahlreiche bekannte Cybergruppen wie Turla steuern.

Dem FSB wird vorgeworfen, seit Jahren bösartige Cyberangriffe zu führen, deren Intensität und Schwere zunehmen. Ziele seien die EU, ihre Mitgliedstaaten sowie internationale Partner, insbesondere die Ukraine. Das Spektrum reiche von der Unterwanderung staatlicher Netzwerke bis zur Sabotage kritischer Infrastruktur.

Angriff auf die Energie- und Verkehrsinfrastruktur

Zu den betroffenen Staaten zählen Deutschland, Frankreich, Polen, Zypern, die Niederlande, Österreich, die Slowakei, Rumänien und Finnland. Hierzulande richteten sich die Angriffe vor allem gegen staatliche Einrichtungen. In Polen soll die FSB-Einheit Sabotageakte gegen Heizkraftwerke und Schienennetze verübt haben. Solche Attacken zeigen für den Rat die wachsende Bereitschaft Moskaus, zivile Kernbereiche des täglichen Lebens im Westen zu stören.

Neben den Geheimdiensten spielen laut EU auch kriminelle Gruppen und Technologieunternehmen eine wichtige Rolle. Viele stünden in direkter Verbindung zu Russland oder handelten unter Anleitung und Kontrolle des Kreml. Sie ermöglichten oder führten Angriffe auf öffentliche Einrichtungen und sensible Wirtschaftsbereiche aus. Die EU wolle diese Form hybrider Kriegsführung nicht länger hinnehmen.

Tarnung durch gekaperte iranische Server

Frankreich hat nähere Erkenntnisse über die Arbeitsweise der Turla-Gruppe publik gemacht. Demnach kompromittierte diese bereits 2017 unklassifizierte E-Mail-Systeme des Verteidigungsministeriums, infiltrierte 2018 die französische Botschaft in Moskau und betrieb 2025 Industriespionage gegen ein Hightech-Unternehmen. Zur Verschleierung sollen die Angreifer Infrastruktur in Drittstaaten wie dem Iran genutzt haben. Frankreichs Außenminister Jean-Noël Barrot kündigte an, den russischen Botschafter einzubestellen.

Die EU verhängte nun Sanktionen gegen neun Personen und vier Organisationen. Grundlage ist das EU-Regime für Cybersanktionen, das 2020 erstmals gegen Offiziere des russischen Militärgeheimdienstes GRU eingesetzt wurde – als Reaktion auf NotPetya und den Cyberangriff auf den Bundestag. Später wurde die Sanktionsliste unter anderem wegen Angriffen auf Estland sowie russischer Sabotage- und Desinformationskampagnen erweitert.

Die neuen Maßnahmen umfassen Einreiseverbote und das Einfrieren von Vermögenswerten. Betroffen sind auch russische Technologieunternehmen, die den Geheimdienst unterstützen. So dürfen Advanced System Technology (AST) und NPP Gamma künftig keine Geschäfte mehr in der EU tätigen. AST war bereits 2021 von den USA sanktioniert worden.

Internationale Allianz gegen russische Attacken

Die EU verweist auf die enge Abstimmung mit Großbritannien, das parallel ebenfalls Sanktionen gegen 24 mit russischen Geheimdiensten verbundene Personen und Organisationen verhängte. Beide Seiten sehen die Grenzen zwischen staatlichen Akteuren und angeblich unabhängigen Cyberkriminellen im russischen Cyberraum zunehmend verschwimmen.

Um dieser Entwicklung zu begegnen, plant die EU die internationale Zusammenarbeit auszubauen – vor allem mit der NATO. Ziel ist ein freier, offener, stabiler und sicherer Cyberspace. Zugleich appelliert sie an alle Staaten inklusive Russland, den UN-Rahmen für verantwortungsvolles staatliches Handeln im Cyberraum einzuhalten und das Völkerrecht zu respektieren.

(cku)

Im vergangenen Jahr hat automatisierte Videoüberwachung des öffentlichen Raums in Deutschland einen erstaunlichen Siegeszug hingelegt. Zuvor gab es sie nur in Mannheim. Vor fast genau einem Jahr wurde sie in Frankfurt am Main gestartet, vor zehn Monaten in Hamburg.

In Berlin wird der Einsatz gerade vorbereitet, ebenso in zwei Städten in Baden-Württemberg. Und am Freitag hat der Bundestag den Einsatz an deutschen Bahnhöfen beschlossen. Vier Tage zuvor hat das Innenministerium einen Gesetzentwurf veröffentlicht, der dem Verfassungsschutz den Zugriff auf Überwachungsanlagen erlaubt.

Die Kontrolle von Menschen mittels automatisierter Videoüberwachung eskalierte innerhalb eines Jahres vom experimentellen Probelauf zur kommenden Realität. Das ging rasant.

Die Systeme in den verschiedenen Städten erkennen bislang entweder bestimmte Verhaltensmuster oder Gesichter auf Videostreams. In Baden-Württemberg und an den deutschen Bahnhöfen sollen die Technologien zusammen ausgerollt werden.

Die Bundesregierung will BKA und Bundespolizei zudem bald weitere, extrem invasive Maßnahmen der automatisierten Überwachung erlauben: Eine Internetsuchmaschine für Stimmen und Gesichter und eine Megadatenbank mit KI-gestützter Analyse, wie sie auch Palantir im Angebot hat. Entsprechende Befugnisse für BND und Verfassungsschutz finden sich ebenfalls im Entwurf des Geheimdienstgesetzes.

Der gläserne Mensch unter Generalverdacht

Zusammengedacht ergibt das ein System, das vollautomatisiert kontrolliert, was Menschen in der Öffentlichkeit tun, sie bei unerwünschtem Verhalten identifiziert und dann gleich auch noch recherchiert, wo sie sich bewegen und mit wem sie bekannt sind.

Jede einzelne der kommenden Technologien stellt alle Menschen unter Generalverdacht. Jedes Gesicht wird gescannt, jedes Verhalten wird bewertet, jeder Mensch, der mit der Polizei zu tun hat, landet in der Megadatenbank. Die totalitären Tendenzen sind der automatisierten Überwachung immanent. Sie gefährdet die Demokratie und läuft ihr ganz grundsätzlich zuwider.

Demokratie ist die Aushandlung der Bedürfnisse verantwortungsbewusster Individuen, von denen angenommen werden muss, dass sie sich angemessen verhalten. Abweichungen können geahndet werden, doch ohne die grundsätzliche Vor-Annahme der Wohlgesonnenheit seiner Bewohner*innen kippt ein System ins Totalitäre. Demokratie hat auch etwas mit Vertrauen zu tun. Wer meint, alle Menschen fürchten zu müssen, wird versuchen, sie zu kontrollieren. Da wo jeder verdächtig ist, beginnt der Überwachungsstaat.

Ein Auto ohne AdBlue kann unter Umständen noch fahren, aber auf die Straße darf der Wagen eigentlich nicht mehr. Prof. Thomas Jäschke von der Datatree AG hat dieses Bild in seinem Vortrag beim Clubabend des Bundesverbands der Krankenhaus-IT-Leiterinnen und -Leiter bemüht, um ein massives Problem in deutschen Kliniken zu beschreiben. Denn bei in die Jahre gekommener Hard- und Software stellt sich oft dieselbe Frage: Ist der Betrieb eines System sicher oder legal, nur weil es technisch noch läuft?

Oft sieht es im Klinikalltag so aus: Ein alter Server brummt im Keller vor sich hin, das Archivsystem spuckt brav Patientenakten aus und das Ultraschallgerät macht seinen Job. Updates? Fehlanzeige. Den Stecker ziehen kann die IT-Abteilung trotzdem nicht einfach. Steuerrechtlich gelten zehn Jahre Aufbewahrungsfrist, bei medizinischen Akten reden wir über 15 bis 30 Jahre. Die Daten müssen also zwingend abrufbar bleiben.

Heikel wird die Lage, sobald Medizintechnik ins Spiel kommt. Hier hängt die Hardware oft an ganz spezifischen, teils sehr alten Software- oder Betriebssystemversionen. Spielt man hier eigenmächtig ein Update ein, riskiert man nicht selten die Zulassung des gesamten Geräts.

Eine Liste ist noch kein Risikomanagement

Einig waren sich die Teilnehmer bei der Veranstaltung, dass eine gemeinsame Liste alter Systeme notwendig ist, aber noch lange nicht ausreicht. Asset-Datenbanken und Inventare schaffen Transparenz, allerdings beginnt die eigentliche Arbeit danach. Welche Prozesse hängen an einem System? Welche Daten werden verarbeitet? Welche Schnittstellen bestehen? Welche Folgen hätte ein Ausfall? Wer entscheidet, ob ein System weiterbetrieben, isoliert, ersetzt oder abgeschaltet wird?

Gerade im Krankenhaus entscheidet nicht allein das Alter eines Systems über dessen Kritikalität. Ein alter Server kann vertretbar sein, wenn er sauber isoliert ist und nur noch für Archivzwecke benötigt wird. Ein anderes System kann hochkritisch sein, weil daran Diagnostik, Kommunikation, Medizintechnik oder zentrale Infrastruktur hängen. Risiken entstehen demnach nicht nur durch die Technik, sondern auch durch den Prozess, in dem die Technik eingesetzt wird.

NIS2 und B3S erhöhen den Druck

Hängen jedoch zentrale Systeme oder Kommunikationswege an veralteter Technik, werden Angreifern Tür und Tor geöffnet. Dabei sind Themen wie Lifecycle-Management, Risikobewertung, Notfallplanung, Lieferkettensteuerung und Co. nicht neu. Inzwischen lässt der Gesetzgeber allerdings keine Ausreden mehr zu. Durch NIS2 und den Branchenspezifischen Sicherheitsstandard fürs Krankenhaus (B3S) stehen Krankenhäuser als kritische Infrastruktur massiv unter Druck, Informationssicherheit nachweisbar zu steuern. Die IT kann darauf hinweisen, an welchen Stellen Handlungsbedarf besteht.

Die Entscheidung über den Weiterbetrieb, eine Isolation, beziehungsweise die Abschaltung der kritischen Bereiche, oder notwendige Investitionen bleiben jedoch eine organisatorische Verantwortung. In der Praxis liegt hier oft die größte Hürde. Viele Häuser kennen ihre Altlasten, aber für die Umsetzung fehlen die Zeit, das Budget, das Personal, eine Priorisierung und klare Eskalationswege.

(mack)