2016 trat die EU-Richtlinie zur Netzwerk- und Informationssicherheit in Kraft, kurz: die NIS-Richtlinie. Sie soll über ganz Europa hinweg die Cybersicherheit erhöhen. Ob für Online-Marktplätze oder digitale Dienste im Gesundheitsbereich: Die EU-Mitgliedsländer müssen dafür sorgen, dass alle Betreiber verbindliche Sicherheitsbestimmungen und Berichtspflichten erfüllen. Doch reichen die Anforderungen auch für den Energiesektor? Die Antwort der Expertengruppe lautet: Nein - denn:

"Ein Problem ist natürlich definitiv die Tatsache, dass wir ein echtzeitfähig vernetztes System haben, dass, wenn irgendwo eine Stromschwankung ist, das Stromnetz ausfällt in einem der Länder, kann das eine Auswirkung haben am anderen geografischen Ende der Europäischen Union", erklärt Guido Gluschke von der Technischen Hochschule Brandenburg. Dass im Energienetzwerk ein Gleichgewicht von Erzeugung und Verbrauch herrschen muss, macht Cyberattacken so gefährlich:

"Schadsoftware wird entwickelt gezielt für Angriffe gegen bestimmte kritische Infrastrukturen. Wir haben ein Beispiel gesehen mit dem Namen CrashOverride. Und diese Software ist exakt gemacht worden, um den Betrieb von Stromnetzen anzugreifen und diese lahmzulegen oder zu übernehmen."

Russische Hacker sollen in der Ukraine CrashOverride sozusagen erprobt haben: Am 17. Dezember 2016 fiel in Teilen von Kiew für rund 75 Minuten der Strom aus - offensichtlich, weil Hacker monatelang Zugriff auf das Netzwerk eines Umspannwerkes hatten.

"Es wird allgemein so gesehen, dass diese Schadsoftware modular aufgebaut ist, und eben mit Teilen ersetzt werden kann, die dann nicht für die Systeme in der Ukraine einsetzbar sind, sondern für Systeme, beispielsweise in Westeuropa oder auch in Deutschland."

Außerdem hat der Erpressungstrojaner WannaCry vor kurzem erst gezeigt, wie schnell Schadsoftware um die Welt geht. Das Problem: Die NIS-Richtlinie der Europäischen Kommission richtet ihr Augenmerk auf die einzelnen Staaten, verpflichtet sie zu Aktionen. Angesichts eines europäischen Verbundsystems, das mit seinen 34 angeschlossenen Staaten sogar über die EU hinausreicht, könnte das zu kurz greifen:

"Insbesondere durch diese Schadsoftware, die jetzt in der Ukraine aufgetaucht ist, ist ja klar zu sehen, dass Energienetze kritische Infrastrukturen sind, und um diese zu schützen, brauchen wir beispielsweise ein übergreifendes Bedrohungs- und Risikomanagement, und übergreifend bedeutet nationalstaatenübergreifend. Wir müssen verstehen, was an der einen Ecke passiert, kann innerhalb von Minuten oder Stunden an der anderen Ecke eine Auswirkung haben."

Eine europäische Strategie wäre die beste Lösung, doch derzeit sei es wenig wahrscheinlich, dass sich die Länder zu einer neuen Institution durchrängen, die die Cyberabwehr auf europäischer Ebene organisiert. Ein Grund: Einige Nationen könnten noch nicht abschätzen, was Cyberangriffe wirklich für sie bedeuten können. Die Expertengruppe rät deshalb, "eine funktionierende operative Gruppe einzusetzen auf europäischer Ebene, die dieses ganze Thema weiter treibt und eine Entscheidung dazu findet, inwieweit wir mit europäischen Bedrohungen auch umgehen können."

Und auf nationaler Ebene dürfte derzeit das Wichtigste sein, die Stromnetzwerke erst einmal zu analysieren. Denn die sind meist historisch gewachsen, ohne dass man sich früher Gedanken über IT-Komponenten und deren Sicherheit gemacht hätte. Und dann muss der Schutz organisiert werden. Das Problem: Es fehlen die Fachleute:

"Da fehlt es natürlich am Markt schon auch an entsprechendem Know-how, weil das ganze Thema relativ neu ist, eigentlich seit zwei, drei Jahren überhaupt erst diskutiert wird. Das heißt, es gibt diese Sicherheitsberater mit dem speziellen Wissen für den Energiesektor eigentlich kaum, und es gibt auch kaum Ausbildungsgänge, die das ermöglichen."