22. November 2021 Blackout: Wie sicher ist unsere Infrastruktur vor Cyber-Angriffen?

Ein Blackout ist ein unerwarteter und überregionaler Stromausfall und kann durch verschiedene Störungen verursacht werden. Welche Gefahr geht hierbei von gezielten Angriffen durch Cyberkriminelle aus?

Ein Blackout, also ein „europaweiter Strom-, Infrastruktur- sowie Versorgungsausfall“, kann verschiedene Ursachen wie Naturkatastrophen, menschliches Versagen oder Netzschwankungen haben. 2006 waren mehrere Länder Europas von einem Blackout betroffen, nachdem zwei Hochspannungsleitungen planmäßig abgeschaltet wurden. Die Störung dauerte rund zwei Stunden, in denen Millionen von Haushalten keinen Strom hatten. Ein derartiges Ereignis ist in Europa eine Seltenheit. Expertinnen und Experten sind sich jedoch einig, dass die Gefahr eines Blackouts durch einen gezielten Cyberangriff in den letzten Jahren stark gestiegen ist.

Christoph Schuh, Unternehmenssprecher des österreichischen Übertragungsnetzbetreibers Austrian Power Grid (APG), erklärt im Interview, welches Gefahrenpotenzial von Hackerinnen und Hackern in Hinblick auf einen Blackout ausgeht und wie sicher österreichische Infrastrukturen vor Cyber-Angriffen sind.

Welche infrastrukturellen Maßnahmen empfehlen Sie für die Blackout-Vorsorge in Österreich?
Schuh: Die APG ist für die sichere Stromversorgung in Österreich verantwortlich. Österreichs Versorgungssicherheit liegt – mit einer Stromnetz-Verfügbarkeit von über 99,99 Prozent – im weltweiten Spitzenfeld. Die sichere Stromversorgung ist die Basis unserer modernen, nachhaltigen und digitalen Gesellschaft. Zur Aufrechterhaltung dieser hohen Qualität der Versorgungssicherheit für Wirtschaft und Gesellschaft ist ein weiterer Ausbau der Kapazitäten des Stromnetzes, der Speicher, der Reservekraftwerke, der nachhaltigen Produktion sowie die Integration aller neuen Akteure des Energiesystems in das digitale Netz der APG notwendig. Daher investiert das Unternehmen in den kommenden zehn Jahren 3,5 Milliarden Euro in den Aus- und Umbau der Strominfrastruktur.

Ein Blackout muss von einem lokalen oder regionalen Stromausfall strikt getrennt werden: In Österreich muss beispielsweise immer wieder in den alpinen Regionen in den Wintermonaten durch extreme Wetterlagen mit Unterbrechungen der Stromversorgung gerechnet werden.

Wie sicher sind unsere Stromnetzwerke vor Hacker-Angriffen?
Schuh: Die Digitalisierung umfasst die gesamte Strombranche sowie alle anderen wirtschaftlichen Sektoren. Durch die digitale Vernetzung ist es möglich, viel schneller und rascher Sicherheitsmaßnahmen zu treffen und vor allem zukünftig alle Akteure des Stromsystems über digitale Plattformen zu integrieren. Auch wir als APG setzen in allen Unternehmensbereichen innovative und digitale Tools ein. Daher ist es notwendig, eine Vielzahl von Sicherheitsmaßnahmen im Bereich Cyberattacken in den verschiedensten Ebenen des Unternehmens laufend umzusetzen. Dazu gehört vor allem die permanente Überprüfung unserer digitalen Plattformen auf mögliche Schwachstellen. Wir sind Teil der kritischen Infrastruktur und daher in ständigem Austausch mit den zuständigen Behörden und Ministerien – etwa dem Cyber Security Center des BMI. Darüber hinaus sind wir in die wesentlichen österreichischen Plattformen in diesem Bereich, wie etwa die Austrian Energy CERT, integriert.

Neben einer freiwilligen ISO-Zertifizierung haben wir auch Maßnahmen zur weiteren Steigerung der Cyber Security ergriffen. So kümmert sich ein eigenes Security Operations Center 24/7 um das Erkennen von Angriffen, gegebenenfalls die Reaktion darauf sowie um eine permanente weitere Steigerung des Cyber-Security-Niveaus. Ergänzend werden unsere Mitarbeiter laufend etwa in regelmäßigen Krisenübungen und Trainings gemeinsam mit den bereits genannten Institutionen auf Cyber-Security-Bedrohungen trainiert.

Ist ein europaweites Blackout technisch gesehen umsetzbar?
Schuh: Es ist theoretisch denkbar, aber sehr unwahrscheinlich, weil die Netze mit entsprechenden Sicherheitseinrichtungen im Störfall oder im Falle einer Cyberattacke üblicherweise voneinander getrennt werden, um die jeweilige Störung einzugrenzen. Im seltenen Ausnahmefall, dass aufgrund eines gleichzeitigen Cyberangriffs auf alle Stromnetzwerke Infrastruktur großflächig attackiert wird, wäre ein europaweites Blackout im Extremfall denkbar. Genau das ist der Grund, warum wir auf nationaler und europäischer Ebene immer wieder Krisenübungen und technische Abstimmungen durchführen. Gleichzeitig finden auch im Rahmen vom Austrian Energy CERT regelmäßige Abstimmungen mit anderen Infrastrukturbetreiberinnen und -betreibern und den zuständigen Ministerien statt.

Könnte ein Blackout aufgrund eines Angriffs durch einen Insider, beispielsweise durch eine Mitarbeiterin beziehungsweise einen Mitarbeiter eines Kraftwerks, erfolgen?
Schuh: Alle neuen Mitarbeiterinnen und Mitarbeiter in kritischen Bereichen der APG werden durch das BVT sicherheitsüberprüft und einer jährlich verpflichtenden Sicherheitsunterweisung unterzogen. Damit ist das Risiko nach menschlichem Ermessen auf ein Minimum reduziert. 

Wie lange ist die Versorgungssicherheit nach einem Blackout in Österreich gewährleistet?
Schuh: Generell gilt für das Wiederherstellen nach einem Störfall folgendes Szenario: Unsere Simulationen und Krisenübungen zeigen, dass wir in der Lage sind, das Stromnetz binnen 10 bis 24 Stunden wieder in einen ordentlichen Betriebszustand zu bringen, und somit die sichere Stromversorgung wiederherzustellen. Das geschieht mit dem Hochfahren sogenannter schwarzstartfähiger Kraftwerke (u.a. Pumpspeicherkraftwerke), mit deren Hilfe Versorgungsinseln etabliert und danach zusammengeschlossen werden.

Das Energieinstitut an der Johannes-Kepler-Universität Linz hat bereits vor ein paar Jahren versucht, die Schäden eines flächendeckenden Stromausfalls zu berechnen. Für einen Tag kommt der Blackout-Simulator der Wissenschaftlerinnen und Wissenschaftler auf Kosten von rund 1,2 Mrd. Euro.