Nike Wessel: Hallo liebe Hörerinnen und Hörern und herzlich willkommen zu "Volle Energie voraus", dem Podcast über die Trendthemen der digitalen Energiewende. Wir sprechen mit spannenden Gästen aus Politik, Wirtschaft und Forschung über die Transformation der Energiewirtschaft. Wir inspizieren Potenziale aktueller Megatrends, tauschen uns mit den wichtigsten Akteuren der Branche aus und beleuchten interessante Perspektiven aus unserem Podcaststudio und Future Energy Lab in Berlin. Dieser Podcast ist Teil des Future Energy Labs der Deutschen Energie Agentur, ein Projekt im Auftrag des Bundesministeriums für Wirtschaft und Energie. Volle Energie voraus, los geht's! Herzlich willkommen zu dieser Episode unserer vierten Staffel. Heute geht es um ein Thema, das im Verborgenen liegt, aber für die Sicherheit der Energieversorgung entscheidend ist: Cybersicherheit im Energiesektor. Konkret, wie trainiere ich Unternehmen für den Ernstfall? Wer organisiert solche Übungen? Wie werden sie designt und was lernen alle Beteiligten daraus? Ich habe heute zwei Gäste: Dr. Konstantin Hartmann ist Security Consultant bei HiSolutions und begleitet Unternehmen durch reale Cyber-Vorfälle und Krisenübungen. Herzlich willkommen, Konstantin. Und Lilly Kassner ist ebenfalls Security Consultant bei HiSolutions und konzipiert und führt Simulationsübung für verschiedene Szenarien durch. Herzlich willkommen, Lilly. Ihr habt ja bei Hi Solutions bereits einige Cyberübungen im Energiesektor durchgeführt. Was sind denn Cyberübungen und wie sieht denn so ein Ernstfall aus im Energiesektor? Wie kann ich mir das vorstellen und vor allem, warum ist das wichtig?

Lilly Kassner: Wir freuen uns sehr darüber! Das Thema ist ein Thema, mit dem wir uns sehr viel beschäftigen und gerade auch, was du angeschnitten hast mit dem Thema Cyberübung. Was ist eigentlich eine Cyberübung, wenn wir darüber reden? Und was uns immer wieder begegnet, ist, dass unter Cyberübung, viele unserer Kunden, die wir begleiten dürfen, ganz viele verschiedene Sachen verstehen, aber in erster Linie ein Ausfall von IT oder auch gerade im Energiesektor OT-Komponenten verstehen. Das heißt, irgendwas funktioniert nicht mehr und bei einer Cyberübung geht das dann ganz spezifisch auch noch darum, dass es häufig darum geht, dass es aufgrund von Einwirkungen von Dritter passiert. Also das heißt, meine IT fällt nicht einfach so aus, oder auch meine OT fällt nicht einfach so.

Nike Wessel: Was ist OT?

Lilly Kassner: OT wäre Operational Technology, das heißt wir reden viel von beispielsweise Industrieanlagen, wie beispielsweise einem Transformator in einem Strombereich, einem Verteilerkasten. Also sowas.

Dr. Konstantin Hartmann: Genau, die ganze Umspanntechnik, die Netzsteuerung, das ist dann alles OT und wird häufig getrennt von der IT, idealerweise tatsächlich getrennt. Auch das sind dann immer Themen für solche Cyberübungen bei uns.

Lilly Kassner: Genau, da würden wir jetzt gleich schon sehr tief einsteigen, vielleicht um den einen Gedanken noch zu Ende zu bringen. Genau, es geht eben ganz viel darum, wie reagiert man, wenn meine IT oder OT ausfällt aufgrund von Cyberangriffen oder auch Sabotage.

Nike Wessel: Das hatten wir in Berlin hier, einen großen Stromausfall.

Lilly Kassner: Das haben wir wohl mitbekommen.

Nike Wessel: Halb Zehlendorf hatte keinen Strom mehr und alle haben ihre Handys bei einem Italiener um die Ecke aufgeladen.

Lilly Kassner: Genau, das wäre ein Szenario, was durchaus realistisch wäre, dass man das einmal durchspielt und nicht nur im Ernstfall.

Dr. Konstantin Hartmann: Das ist auch genau der Punkt, warum Cyberübungen im Energiesektor vielleicht auch so wichtig sind, ein aktuelles Thema sind. Energieversorger bereiten sich ganz häufig auf solche technischen Ausfälle vor. Eine Leitung wird vielleicht auch versehentlich durchbohrt, durchbaggert. Der ganze Fokus aber auf diesen Cyber, damit haben die Unternehmen häufig weniger Erfahrung und da sind die Übungen besonders wichtig. Die Übungen für andere Vorfälle, die haben wir im Alltag schon. Da sind auch Ernstfälle jedes Mal, wenn irgendwo eine große Fliegerbombe gefunden wird, aus dem Zweiten Weltkrieg, dann sind die Netzbetreiber mitinvolviert und haben damit Übungen, Erfahrungen und so weiter. In dem ganzen Cyberumfeld, das ist relativ neu und da sind auch die meisten Unternehmen noch gar nicht so gut vorbereitet in ihren Prozessen, in ihrer Antwort auf diese Vorfälle und dafür sind diese Übung so wichtig, dass man das emuliert, weil wir zum Glück noch nicht so viel Erfahrung mit Ernstfällen hatten, aber wir sehen halt, es nimmt zu und deswegen sind Cyberübungen da so wichtig.

Nike Wessel: Lilly, vielleicht könnt ihr mir so eine Übung noch mal ein bisschen beschreiben. Also was habt ihr schon so für Übungen durchgeführt bei HiSolutions? Wie genau geht es vor sich?

Lilly Kassner: Also wir führen ganz viele Übungen durch. Dabei kann man unterscheiden natürlich verschiedene Branchen, die wir im Fokus haben, nicht nur neben dem Energiesektor, aber auch viel im Energiesektor. Und dann gibt es auch ganz viele verschiedene Arten von Übungen, die man durchführen kann. Also wir haben jetzt über die Simulationsübung gesprochen, also wo wirklich ein spezifisches Szenario simuliert wird. Es gibt aber auch Übungen, bei denen wir uns wirklich vielleicht schon einen konkreten Notfallplan angucken, der beschrieben wurde. Also wo man wirklich einen Plan, der bereits sich theoretisch durchdacht wurde, mal durchspricht, wo man spricht, okay, welche Schnittstellen müssten wir denn betrachten? Wen müssten wir denn kontaktieren oder auch wie müssten wir kommunizieren, wo das Ganze also eher in einem ruhigeren Rahmen stattfindet. Da haben wir aber auch, wie gesagt, die Krisenstabsübung, wo wir wirklich Krisenstäbe versuchen zu sensibilisieren und vorzubereiten. Und genau, haben dann auch noch andere Themen, gerade im Energiesektor, weil ich gerade das Thema Schnittstellen angesprochen hatte, wie man auch wirklich zwischen verschiedenen Krisenstäben kommunizieren kann oder auch Notfallstäben. Da haben wir dann auch zum Beispiel sogenannte Stabsrahmenübungen.

Dr. Konstantin Hartmann: Das sind diese Schnittstellen, gerade im Versorgerbereich. Wir haben jetzt einen großen Versorger, der verschiedene Sparten bedient, ob es jetzt eine Gasversorgung ist und noch andere Versorgungsbereiche wie Energie, Abwasser, Wasser etc. und dort zusammenarbeiten muss. Dann geht es natürlich darum, dass wir verschiedene Stäbe haben, die gleichzeitig üben, Informationen austauschen. Das sind dann sehr große Übungen, wo man diesen ganzen Informationsfluss mit übt und das ist immer recht herausfordernd für die teilnehmenden Unternehmen.

Nike Wessel: Und wie geht es dann konkret? Wenn ihr so ein Konzept entwickelt, wie kann ich mir das konkret vorstellen?

Lilly Kassner: Jetzt dürfen wir ein bisschen nerden. Also wenn wir anfangen, fangen wir eigentlich immer damit an, uns zu überlegen, was ist eigentlich das, was wir erreichen wollen. Also was ist denn das Ziel dahinter? Wollen wir sensibilisieren für eine Thematik oder wollen wir tatsächlich bestimmte Abläufe gleich üben und durchsprechen und wirklich gucken, okay, wo hakt es noch? Also wirklich Optimierungspotenziale identifizieren und dann gucken wir uns eben an danach, wer übt das denn? Also wer ist denn der Teilnehmerkreis? Mit wem wollen wir denn dieses Ziel erreichen?

Dr. Konstantin Hartmann: Ja, ich denke, das sind wirklich die wichtigsten Punkte, wenn man einsteigt, ganz klarzumachen, was wollt ihr erreichen und wen wollt ihr beüben. Das sind die zwei zentralen Fragen, weil ich kann so eine Übung für einen ganz unterschiedlichen Teilnehmerkreis bauen. Ich kann das sehr IT- oder OT-lastig auf technischer Expertenebene abhandeln. Dann brauche ich aber auch ein ganz anderes Übungsdesign. Oder ich baue eine ganze Übung für die Entscheidungsebene, also für die Konzernführung und dann brauche ich ein ganz anderes Szenario, dann braue ich ganz andere Schwierigkeiten und Herausforderungen in so einer Übung.

Nike Wessel: Und wie kommt ihr dann vom Konzept zum Übungsdesign? Also wie geht es dann weiter?

Dr. Konstantin Hartmann: Also ich denke hier ist es immer wichtig, wenn wir wissen, was ihr erreichen wollt, dann überlegen wir, wie machen wir diesen zeitlichen Ablauf in der gesamten Übung. Beginnen wir mit einer Alarmierung, dass wir wirklich sagen, hier sind erste Symptome, die detektiert werden und dann stoßen wir diese ganze Alarmierungskette, die im Realfall auch ablaufen würde oder setzen wir das voraus. Setzen wir voraus, dass die Teilnehmer bereits alarmiert wurden und wir vielleicht schon ein, zwei, drei Stunden in so einem Szenario sind. Das gehört für uns noch dann A ganz wichtig für die Konzeptionierung dazu, dass wir wissen, wo steigen wir ein. Und dann können wir das Grob-Szenario ausbauen. Dazu müssen wir natürlich immer wissen, was ist eigentlich vorgefallen.

Lilly Kassner: Genau, was ist passiert. Also wir versuchen, uns dann reinzudenken, sozusagen in den Kunden und die bestimmten Gegebenheiten und die Rahmenbedingungen. Häufig brauchen wir dafür dann auch tatsächlich Leute aus der Organisation, die uns helfen, da eben den Einblick zu kriegen. So wie so ein kleiner Insider, der uns sozusagen Insider-Informationen liefert. Und dann gibt es ganz unterschiedliche Ansätze, wie man da rangehen kann. Also entweder man geht eben so top-down, also wir überlegen uns chronologisch, okay, wir haben unsere strategischen Ziele. Wie können wir die erreichen? Oder aber man denkt sich wirklich rein, ich glaube, du bist immer ein großer Vertreter von diesem Sich-rein-Denken und dann sozusagen bottom-up zu überlegen, okay, ich habe jetzt diese Ausgangslage, wie würden sie denn vorgehen? Was könnte denn passieren? Und sich daran dann eben weiterzuentwickeln, sodass man dann irgendwann zu so einem chronologisch ablaufenden Plan kommt, den man dann eben üben will.

Nike Wessel: Das heißt, ihr füllt das Ganze wirklich auch konkret mit Leben. Also nicht nur, dass ihr viel Erfahrung mitbringt, ihr findet eben auch heraus, was vielleicht für die Kundin oder den Kunden auch relevant ist und wie entsteht dann daraus ein Drehbuch, nachdem ihr dann vorgeht?

Lilly Kassner: Genau, wir haben ja dann unser Szenario, was ich auch schon angedeutet hatte. Und dann denkt man sich da so ein bisschen rein. Dann überlegt man sich, okay, was könnte jetzt noch passieren, wie dieses Szenario weiterläuft? Was wären ...

Dr. Konstantin Hartmann: Da wirds dann kreativ.

Lilly Kassner: Genau, da können wir uns dann auch mal kreativ ausleben. Dann haben wir meistens, wo wir vorgehen, mit verschiedenen Handlungssträngen, die wir dann sozusagen initial aufbauen und dann auch weiterentwickeln. Das ist zum Beispiel ganz häufig auch Kommunikation. Also, wie kommuniziere ich eigentlich nach außen? Was kommunizieren ich? Also, wir haben häufig dann eben, wo man sich überlegt, ah, okay, wenn jetzt gerade vielleicht auch Bevölkerung betroffen ist, oder die Bevölkerung getroffen ist, dass wir dann überlegen, okay, wie würde das dann eigentlich kommuniziert werden? Und wenn nicht richtig kommuniziert wird oder nicht kommuniziert wird, dann könnten ja vielleicht Leute auch auf Social Media sich melden und fragen, was da los ist. Und dann denken wir uns da auch rein und überlegen dann, okay wie würde sich das ausgestalten und entwickeln, dann die sogenannten Einspieler. Also in einem Drehbuch ist dann sozusagen eine chronologische Folge von Informationen, die wir reingeben in die Übung so nach und nach, um eben dieses Szenario voranzubringen und das sind dann die Einspieler und da können wir dann uns wirklich kreativ ausleben und überlegen, wie würde dann ein Mitarbeiter aus einer Abteilung anrufen, wütend und fragen, was da eigentlich los ist.

Dr. Konstantin Hartmann: Und da geht es dann auch wieder darum, ganz eingangs haben wir gesagt, wer übt denn eigentlich? Und wir wollen am Ende immer alle, die an der Übung beteiligt sind, ja auch einbinden und herausfordern. Das heißt, wir müssen schauen, in so einer Übung sind häufig 6 bis 20 Personen auf Kundenseite beteilig, die dann tatsächlich üben. Das heißt wir müssen auch schauen, welche Hintergründe haben die, welche Aufgaben haben die und mit was fordern wir sie heraus? Einmal die Kommunikation zum Kunden, zur Presse, zur Öffentlichkeit. Es kann auch die interne Kommunikation sein. Es kann Personal sein: Wie gehe ich mit meinen Mitarbeitenden um? Es geht natürlich immer um die technische Seite: Wie laufen die Entscheidungen ab? All das bauen wir dann als Einspieler auf und wie Lilly auch gerade sagte schon, bauen wir auch Möglichkeiten aus. Wenn ein trainierender Krisenstab oder Teilnehmerkreis eine Entscheidung nicht trifft, dann bereiten wir auch dafür vielleicht schon wieder Einspieler vor, die genau darauf abziehen. Also wir schauen dann welche, auf der einen Seite, welche möglichen Entscheidungen wird dieser Krisenstab treffen und wie bereiten wir uns als Übungssteuerung darauf vor, all das spielen zu können.

Nike Wessel: Und was passiert dann nach der Übung? Also welche Schritte, wenn der ganze Prozess schon so durchgegangen ist, welche Schritten sind so am wichtigsten und was ist danach?

Lilly Kassner: Also es gibt viele wichtige Schritte. Vielleicht noch mal einen Schritt zurück, weil das auch für die Nachbereitung dann relevant ist, ist, während der Durchführung steuern wir die Übungen häufig eben als Übungsleitung. Das heißt, wir lenken die Informationen, die sie bekommen und dann gibt es häufig etwas, was wir gerne nutzen. Das ist ein sogenannter Gegenstab.

Dr. Konstantin Hartmann: Und da stellen wir halt die gesamte Außenwelt dar, als auch das Unternehmen, was nicht direkt an der Übung beteiligt ist. Das heißt, wir haben einen Teilnehmerkreis, diese gerade genannten sechs bis zwanzig Personen, die üben. Wir möchten aber insbesondere bei dem Energiesektor natürlich nicht das gesamte Unternehmen mit reinziehen oder die Versorgungssicherheit gefährden. Das heißt wir isolieren diesen Teilnehmerkreis und bespielen dann mit dem Gegenstab, den Lilly gerade genannt hat, diesen Teilnehmerkreis. Das heißt, wir rufen aus dem Unternehmen an, wir rufen aus der Außenwelt an und sagen, wir sind jetzt die Polizei, wir sind der Oberbürgermeister*in, Bürgermeister*in ...

Lilly Kassner: Dann fieser Bildreporter.

Dr. Konstantin Hartmann: Genau, oder Bildreporter. Gleichzeitig können die Übenden aber auch uns anrufen. Das heißt, sie können uns anrufen und sagen ich möchte jetzt mit der IT sprechen, ich möchte mit Personal sprechen, wenn die an der Übung nicht beteiligt sind, müssen ja trotzdem mit jemandem interagieren können. Und das ist für uns ein sehr wichtiges Konzept, wie wir so eine Übung zum Leben erwecken.

Lilly Kassner: Und warum das für die Nachbereitung auch relevant ist, für nach der Übung, weil der Gegenstab natürlich nochmal einen ganz anderen Einblick hat, als wir, die mit dem Krisenstab im Raum sitzen. Das heißt, die können Inkonsistenzen aufdecken. Die können sagen, das wurde aber gar nicht so kommuniziert oder das haben wir anders wahrgenommen. Und das sind natürlich für uns auch Erkenntnisse und auch für die Organisationen Erkenntnis, die sie dann wirklich weiterbringen. Und solche Sachen kann man über den Gegenstab eben super darstellen, weil gerade auch der wichtigste Teil nach der Übung ist für uns eigentlich immer die unmittelbare Nachbesprechung, also das sogenannte Debriefing oder Hot Wash.

Dr. Konstantin Hartmann: Genau, damit steigen wir eigentlich immer zum Übungsende direkt ein. Das heißt, wenn die Übung von uns zusammengefasst wird, dann gehen wir rein, dass wir dieses Feedback, die Erkenntnisse der Teilnehmenden direkt mitaufnehmen, weil es ist dann gerade am wärmsten. Ich habe gerade erlebt, vielleicht wo ich auch festgestellt habe, hier hat etwas bei uns nicht funktioniert. Eine Übung soll ja immer dazu dienen, in Zukunft besser vorbereitet zu sein. Und damit ist es so der relevanteste Punkt, das Feedback einzubringen. Auch die Erkenntnisse und das Feedback des Gegenstabes, um da die Außenwelt mitrepräsentiert zu haben und damit steigen wir immer direkt ein.

Nike Wessel: Und wenn ihr auf eure Übungen zurückschaut, was waren so die größten Herausforderungen für die Teilnehmenden? Was gab es denn da so für wilde Geschichten?

Dr. Konstantin Hartmann: Ich denke immer so, die initiale Phase ist schwierig zweierlei. Einerseits, im Realfall hat man auch eine Chaosphase. Am Anfang ist alles unklar, was ist betroffen bei meinem Ausfall, wie schwerwiegend sind die Auswirkungen. Bei einer Übung kommt auch noch dazu, ich muss mich erst mal einfinden. Ich muss mich erstmal einfinden in dieser Übungssituation, dass ich jetzt vielleicht nicht meinen Kollegen, den ich auf dem Flur immer treffe, anrufe, sondern den Dienstleister, also uns als Gegenstab anrufe oder dort E-Mails hinschicke. Das ist ein bisschen die Übungskünstlichkeiten. Häufig dauert das so die erste halbe Stunde, ist immer ein bisschen wild ...

Lilly Kassner: Weil du auch nach wilden Geschichten gefragt hast. Also gerade dieses, also ich würde es unterscheiden zwischen so inhaltlich sich natürlich reinfinden, weil es ist natürlich eine besondere Situation, aber auch eben eine Übungskünstlichkeit und diese Übungsmethodik, sich anzunehmen und sich da reinzudenken. Ich hatte beispielsweise mal von einem Fall gehört, wo jemand dann sagte, er würde gerne den Bürgermeister gerne informieren und fuhr dann einfach los und sagte aber niemandem Bescheid. Und nach einer Stunde fragte dann also unsere Übungsleitung, wo ist denn hier Herr XY eigentlich hin? Und dann wurde der angerufen und er sagte, ja, ich stehe jetzt gerade vor der Tür des Bürgermeisters und sag dem gleich bescheid und das ist natürlich was, was wir nicht wollen, weil das im Zweifel aus dem Übungsrahmen sprengt und dann wir den wieder zurückholen müssen, das ist dann auch unsere Aufgabe und eben sagen müssen, nein, wir wollen eben einen geschützten Rahmen und das nicht außerhalb dieses geschützte Rahmens stattfinden lassen und den konnten wir dann einfangen und der hat dann auch noch zur Erheiterung von allen eine Runde Eiscreme mitgebracht.

Nike Wessel: Aber wollte er wirklich den Bürgermeister informieren?

Lilly Kassner: Genau, ja. Er wollte dann an der Stelle den Bürgermeister informieren.

Dr. Konstantin Hartmann: Das spricht vielleicht auch für die Realitätsnähe so einer Übung. Es kommt schon vor, dass Leute relativ gestresst sind, wenn man sie gut simuliert, löst es dann doch auch mal Stress aus, was auch in einer Übung gewollt ist. Ansonsten, ich denke, diese Chaos-Phase, aber die Chaos-Phase auch in der Übung ist ein guter Lerneffekt, weil auch wenn wir Unternehmen in Realfällen begleiten, sehen wir diese Chaos-Phase und die dauert bei einem IT-Ausfall oder Cyber-Angriff tatsächlich mehrere Tage. Unsere Übungen sind ja nur ein paar Stunden, da ist eine Chaos-Phase eine halbe Stunde, vielleicht eine Stunde. Im Realfall dauert das mehrere Tage häufig, bis man halbwegs gutes Lagebild hat. Und das ist, glaube ich, die nächste große Herausforderung, ein einheitliches Lagebild zu schaffen.

Lilly Kassner: Einen einheitlichen Informationsstand. Also wenn Leute verschiedene Informationen haben, da dann eben das wieder zusammenzuführen, das ist eigentlich die größte Herausforderung, die wir sehen.

Nike Wessel: Wenn jetzt ein Energieversorger zuhört und denkt, das sollten wir auch machen, was wäre dann euer erster Rat?

Dr. Konstantin Hartmann: Also bringt uns eigentlich zum Anfang der Folge zurück. Das Wichtigste ist, sich klar zu werden: Was möchte ich erreichen und wen möchte ich einbinden in die Übung? Möchte ich meinen Krisenstab haben? Möcht ich meinen IT-Notfallstab haben? Das sind Fragen, über die sollte man sich im Klaren sein. Idealerweise auch, bevor man jetzt vielleicht einen Dienstleister kontaktiert. Das wären unsere ersten Fragen: Wen wollt ihr üben? Was sind eure Ziele? Geht es um eine kleine Planbesprechung, dass ihr sagt, wir möchten unsere Eskalationskette beüben oder geht es darum, dass ihr eine volle Krisenstabsübung mit Dilemmaentscheidungen etc. auf Vorstandsebene anstoßen wollt? Das ist so das Allerwichtigste, was man sich im Vorfeld, denke ich, erstmal bewusst machen sollte.

Lilly Kassner: Genau, also das wäre das, was wir als erster Stelle sagen würden. Erst mal bewusst machen, warum wollen wir üben und was wollen wir üben? Und dafür sich erst mal die Rahmenbedingungen bewusst machen und dann Schritt für Schritt vorgehen und ehrlich beantworten, können wir das selber leisten oder ist es vielleicht besser, sich da Unterstützung zu holen? Da gibt es verschiedene Dienstleister, da gibt es auch vielleicht, auch an der Stelle, vom BSI viel Unterstützung. Da gibt's Vorlagen auch beispielsweise auf der Website, die man sich mal angucken kann.

Dr. Konstantin Hartmann: BSI-Standard 200-4. Da gibt es ein ganzes Kapitel zu, da gibt es Vorlagen. Wichtig ist, wenn ich in eine Übungsvorbereitung gehe und das selber machen möchte, dann brauche ich A personelle Ressourcen dazu, die sich damit beschäftigen, die brauchen auch entsprechend viel Zeit. Und die sollten auch nicht diejenigen sein, die am Ende an der Übung teilnehmen, weil Übungsteilnehmende sollten das Szenario idealerweise nicht kennen im Vorfeld. Und das muss ich mir überlegen. Das heißt, am Anfang muss ich sagen, okay, du bist Teil der Vorbereitung und Durchführung, wirst aber nicht daran teilnehmen. Und wenn ich das mache, dann kann ich Personen und Ressourcen abstellen und sagen, ok, ihr bereitet das vor und baut diese Übung aus.

Nike Wessel: Eine kleine Übung machen wir jetzt auch zusammen, auf die ihr nicht vorbereitet seid, und zwar zum Abschluss machen wir immer eine kleine "Entweder-oder"-Runde. Jede*r entscheidet sich spontan für eine Option. Also keine langen Erklärungen, einfach nur instinktiv, kurz und knackig antworten. Angriff oder Verteidigung?

Dr. Konstantin Hartmann: Angriff.

Lilly Kassner: Verteidigung.

Nike Wessel: Tabletop oder Live-Übung?

Dr. Konstantin Hartmann: Live-Übung.

Lilly Kassner: Live-Übung.

Nike Wessel: Prävention oder Reaktion?

Lilly Kassner: Prävention.

Nike Wessel: Ransomware oder Phishing?

Dr. Konstantin Hartmann: Sabotage?

Lilly Kassner: Ja, ein bisschen Drittnick. Ja, ich würde sagen Ransomware.

Nike Wessel: KI oder Mensch?

Lilly Kassner: Mensch.

Dr. Konstantin Hartmann: Mensch.

Nike Wessel: Regulieren oder Eigenverantwortung?

Lilly Kassner und Dr. Konstantin Hartmann: Eigenverantwortung.

Nike Wessel: Ernstfall oder Übung?

Lilly Kassner und Dr. Konstantin Hartmann: Übung.

Nike Wessel: Schön, da haben wir doch viel mitgenommen. Wollt ihr nochmal einmal erklären, was Ransom und Phishing sind?

Dr. Konstantin Hartmann: Ja, also Phishing kennen wir viel eigentlich auch aus dem privaten Bereich. Ich kriege eine E-Mail, da gibt sich jemand aus als irgendjemand oder versucht, mich dazu zu bringen, private Informationen zu teilen und damit einen Zugang zu schaffen. Phishing kann also eine Ausgangssituation für eine Cyberübung sein. Über eine Phishing-Aktion kommt der Angreifer ins Unternehmen, ins Netz rein. Ransom wäre dann eine Erpressung. Das heißt, der Angreifer ist ein Erpresser, der ein Lösegeld fordert, entweder weil er Informationen gestohlen hat oder Informationen verschlüsselt hat und das Unternehmen nicht mehr rankommt. Das heißt, hier sind es tatsächlich zwei unterschiedliche Begriffe, weshalb wir uns da auch schwer festlegen konnten.

Lilly Kassner: Und du Sabotage gewählt hast dann?

Dr. Konstantin Hartmann: Genau. Ja, gerade jetzt so im aktuellen.

Lilly Kassner: Genau und Tabletop und Live-Übung ist ein bisschen diese Übungsmodi, sage ich mal, oder Übungsarten, die wir auch schon zu Beginn hatten. Also es ist mehr, möchte ich wirklich sensibilisieren, möchte in dieses Gefühl von Krise oder Notfall kommen, dann ist eine Live-Übung besser geeignet. Eine Tabletop, vielleicht wie auch schon der Name so ein bisschen sagt, da sitzt man an einem Tisch zusammen, also man hat einen Tabletop und spricht etwas durch. Also es ein bisschen theoretischer, es ist ein bisschen mehr auf Inhaltliches durchsprechen.

Dr. Konstantin Hartmann: Ich denke, es ist auch, wie ich als Teilnehmer agiere, ganz unterschiedlich. Bei einer Tabletop spreche ich mit euch, ja, jetzt sollten wir mal den Vorstand anrufen oder jetzt wäre das vielleicht ein Punkt, zur Polizei zu gehen oder ja, haben wir da nicht diese oder jene Dokumente. Das heißt, ich diskutiere über meine Handlungen. In einer Live-Übung möchte ich, dass du sie ausführst. Das heißt, wenn ich mit dir eine Live- Übung mache, dann möchte ich, dass du jetzt sagst, jetzt nehmen wir die private Telefonnummer vom Vorstand und wir rufen da an. Dann landen wir entweder beim Vorstand, wenn er Teil der Übung ist oder bei unserem ...

Lilly Kassner: Gegenstab.

Dr. Konstantin Hartmann: Aber das muss ich tun. Und wenn ich es nicht tue, zählt es nicht. Das heißt nur, was ich wirklich aktiv tue. Und da unterscheidet sich dann Tabletop wirklich von einer Live-Übung. Bei einem spreche ich über meine Aktion, beim anderen führe ich meine Auktion aus.

Lilly Kassner: Beides hat Vorteile und beides hat bestimmte Herausforderungen.

Nike Wessel: Vielen herzlichen Dank Konstantin und Lilly! Das war eine sehr aufschlussreiche Folge. Es zeigt Cybersicherheit im Energiesektor ist kein abstraktes Thema mehr. Übungen sind das entscheidende Trainingsmittel, um im Ernstfall handlungsfähig zu bleiben. Wer mehr erfahren möchte, findet weiteres Material zu den Projekten EnerCise und Cyberlab auf den Webseiten der dena und von HiSolutions. Abonniert unseren Podcast, damit ihr keine Folge mehr verpasst. Bis zum nächsten Mal. Ich bin Nike Wessel und das war "Volle Energie voraus".