»Sicherheit ist die Grundvoraussetzung für Innovation«

Prof. Dr.-Ing. Axel Stepken › Es kommt darauf an, wovon wir sprechen. Es stimmt zwar, dass wir uns hierzulande vergleichsweise viele Sorgen um den Zugriff auf persönliche Daten vonseiten des Staates oder der Wirtschaft machen. Das zeigt gerade die breit geführte gesellschaftliche Debatte um das Thema Datenschutz. Geht es aber um die Gefahr, Opfer einer Cyberattacke zu werden, ist von einer erhöhten Risikosensibilität nur wenig zu spüren. Spricht man also vom ganzen Feld der Datensicherheit, mit dem auch wir uns intensiv beschäftigen, machen wir uns im Augenblick eigentlich eher zu wenige als zu viele Gedanken.

Stepken › Auch hier ist es wichtig, zu unterscheiden. Was beispielsweise die Nutzung von KI angeht, stimmt es natürlich, dass uns rein technisch gesehen im Augenblick diejenigen Gesellschaften überlegen sind, in denen es möglich ist, hemmungslos Daten zu nutzen. Aber auch das fällt wieder in den Bereich des Datenschutzes. Was das Thema Datensicherheit angeht, fällt für mich die Antwort ganz eindeutig aus: Hierauf können wir uns gar nicht genug fokussieren.

Stepken › Die Menschen müssen Vertrauen haben in digitale Technologien, sonst wird kein Geschäftsmodell langfristig funktionieren, auch nicht in China. Das war in der Geschichte übrigens schon immer so, wenn es um die Einführung neuer technischer Lösungen ging ...

Stepken › Richtig. Während der ersten industriellen Revolution, vor über 150 Jahren, wurden in vielen Fabriken zunächst Dampfkessel eingesetzt, die so schlecht verarbeitet und aus so minderwertigem Material gefertigt waren, dass es zu dramatischen Unfällen in den Werkshallen kam. Fabrikarbeiter hatten häufig große Angst. Die Hersteller und Betreiber der Anlagen erkannten schnell: Entweder wir sorgen für mehr Sicherheit, oder die Technologie wird sich nicht am Markt durchsetzen. So ist TÜV SÜD entstanden – als Unternehmen, um Menschen, Umwelt und Sachgüter vor den nachteiligen Auswirkungen von Technik zu schützen. Was früher der Dampfkessel war, dann der Aufzug oder das Auto, sind inzwischen eben auch zunehmend digitale Produkte. Dabei ist unser Anspruch immer gleich geblieben: die Technologie so sicher zu machen, dass man vernünftig mit ihr arbeiten kann.

Stepken › Ich würde sagen, die größte Herausforderung, vor der wir heute stehen, ist die zunehmende Vernetzung. Damit haben wir es mit Angriffsvektoren zu tun, die über ein Teilsystem auch Auswirkungen auf weitere Teilsysteme haben können. Dann ist es beispielsweise nicht mehr nur möglich, Daten zu stehlen, sondern auch die funktionale Sicherheit so empfindlich zu stören, dass Menschen zu Schaden kommen können. Das spielt in allen Anwendungsbereichen, ob Automobilindustrie, Medizintechnik, Maschinenbau oder Logistik eine Rolle.

Stepken › Wir glauben, indem man möglichst viele Akteure zusammenbringt, Handlungsfelder definiert und diese auch gemeinsam angeht. Genau deshalb engagieren wir uns zum Beispiel auch in der Initiative Charter of Trust, einer internationalen Allianz für mehr Cybersicherheit. Sie wurde 2018 auf Initiative von Siemens und der Münchner Sicherheitskonferenz gegründet und umfasst inzwischen 16 Mitglieder und drei Associated Partners.

Stepken › Das ist ein wichtiger Punkt. Tatsächlich haben wir ja heute das Problem, dass es regulatorische Rahmenwerke zu Cybersicherheit entweder gar nicht oder in verschiedenen Ländern in unterschiedlicher Ausprägung gibt. Das macht die Entwicklung von Systemen, die ja potentiell weltweit zum Einsatz kommen sollten, sehr schwierig. Grundsätzlich wollen wir dazu beitragen, Cyberrisiken durch Zertifizierung und Verifizierung zu reduzieren. Das reicht von der Optimierung digitaler Lieferketten und der Förderung von Medienkompetenz bis hin zur Frage: Wie können Sicherheitsaspekte von Anfang an in die Konzeptionsphase der Produktentwicklung integriert werden – in Form von Security by Default.

Stepken › Das wird ein „Grundhygieneaspekt“ für die Cybersicherheit sein. Dies reicht aber nicht aus, wir werden mehr als das brauchen, es gibt immer noch zu viele nationale Lösungen. Natürlich kann man sich auf eine solche Situation einstellen, wir kennen das aus dem Bereich der Sicherheitsprüfungen, für die es heute ja auch schon amerikanische, chinesische und europäische Standards gibt. Auch damit können Firmen umgehen, allerdings deutlich besser, je größer sie sind.

Stepken › Die Zahlen des BKA sind auf jeden Fall ernst zu nehmen und spiegeln auch die Risikowahrnehmung in den Unternehmen selbst wider. Im aktuellen Risk Barometer der Allianz werden die Themen Cybervorfälle und die damit einhergehenden Betriebsunterbrechungen als größtes Risiko genannt – noch vor Naturkatastrophen.

Stepken › Ganz und gar nicht. Genau deshalb sehen wir es ja auch als unsere Verantwortung, durch das Prüfen und Zertifizieren von Produkten ein Stück weit Vertrauen in die grundsätzlich großen Chancen der digitalen Transformation zurückzugewinnen. Das ist auch das, was wir unter Digital Social Responsibility verstehen.

Stepken › Es gibt zwar technische Standards, aber dennoch besteht dringender Handlungsbedarf. Der schon genannte Aspekt der Vernetzung kommt auch hier zum Tragen. Wenn Medizingeräte über ein zentrales Steuerungssystem miteinander verbunden sind, werden sie zum potentiellen Ziel für eine Manipulation von außen. Deshalb müssen Sicherheitslösungen schon bei der Entwicklung mitgedacht werden, in Form von Cybersecurity by Default. Noch ist nicht beschrieben, was das im Detail bedeutet. Aber wir arbeiten daran.

Stepken › Das ist ein sehr interessantes Feld, weil wir es hier mit der ersten Fertigungstechnologie zu tun haben, die nur auf Basis von Digitaltechnologie funktioniert. Additive Fertigung heißt, Sie haben irgendwo ein Pulver, und auf Basis des Digital Twins wird aus dem Pulver hinterher ein Produkt. Damit das funktioniert, gibt es eine relativ lange Lieferkette, vom Design über das Pulver über das Fertigungsverfahren bis hin zur Nachbearbeitung. Unsere Aufgabe ist es nun, dieses komplexe System auf seine Risiken abzuklopfen.

Stepken › Wir stehen noch relativ am Anfang. Noch gibt es keine einheitlichen technischen Standards. Trotzdem versuchen wir, auf Basis unseres Sachverstandes und unserer Erfahrung, eine möglichst präzise Voraussage treffen zu können, ob ein Produkt die technischen und regulatorischen Anforderungen erfüllt, die man für die Anwendung braucht.