*Intro*
Engel: Ja, kommen wir nämlich jetzt zu einem Vortrag, der mir selber am Herzen
liegt, weil einige meiner besten Freunde haben KRITIS. Und es ist halt so eine
Krankheit, wie so eine Pandemie, da muss man einfach sagen, muss man erst mal mit
umgehen lernen. Darum freut es mich umso mehr, dass wir jetzt hier bei uns im Saal
oder wie auch immer man das hier so nennt, den HonkHase oder mit bürgerlichem Namen
Manuel Atug haben. Honk ist sozusagen einer der Mitgründer von der KRITIS AG.
Gleichzeitig macht ja auch so was mit Security, wenn man sich bei ihm also den
Track Record ansieht. Irgendwie 23 Jahre Informationssicherheit und im Endeffekt
muss man sagen, er ist halt wirklich ein alter Hase in der Szene und auch in
anderen Szenen. Und da muss man einfach sagen: Wow, für deine ganzen Experience
Points, die du jetzt sozusagen mit einbringst, hier in diesem Vortrag. Und an
der Stelle, ja, welcher Vortrag wird das überhaupt? Ja richtig, Kritische
Infrastrukturen in Pandemie Zeiten. Und ja, jeder der sozusagen das Glück hat in
Firmen zu arbeiten, die auch unter KRITIS fallen, ja die werden glaube ich ein Lied
davon singen können und werden jetzt besonders aufmerksam auch zuhören, ob man
hier auch noch mal was lernen können. Und an der Stelle würde ich einfach sagen:
Applaus, Applaus, Applaus, vorab. Wasser Marsch. Honk, the Stage is yours.
HonkHase: Ja danke Pupe. Ich hatte ja schon einen anderen Vortrag gehalten:
Erfahrungen eines KRITIS-Prüfers, haben ein bisschen erzählt, wie man da so lebt,
leidet, aber auch, wie kreativ sozusagen die Vorhaltung der kritischen
Infrastrukturen oder besser gesagt der Versorgungsleistungen, so bewerkstelligt
wird. Und heute zeige ich euch mal so ein paar Themenabschnitte wie kritische
Infrastrukturen eben in so einer pandemischen Zeit eigentlich im
Hintergrund, die ganze Sachlage stemmen sozusagen. Ja Pupe hat schon gesagt, ich
habe quasi KRITIS im Endstadium. Über 23 Jahre bin ich in all dem Ganzen aktiv.
Meine Kernthemen sind eben kritische Infrastrukturen aus Leidenschaft Hackback,
weil es eben auch kritische Infrastrukturen bedroht. Ethik,
Cyberresilienz, also wie wird man resilient gegen das ganze, Cyber-Gedöns,
Stern Punkt Stern und eben der Bevölkerungsschutz, weil am Ende ja wollen
wir eigentlich morgen noch kraftvoll in die Tastatur hacken und dazu brauchen wir
Strom, Wasser, Hund, Katze, Maus und wie das sichergestellt wird, das erzähle ich
euch dann mal jetzt ein bisschen. Aber bevor wir da reingehen, werde ich euch
noch mal ein bisschen zu den kritischen Definitionen erzählen, denn die
rechtlichen Definitionen sind alles andere als trivial oder komplett geklärt und
geregelt. Und deswegen machen wir da auch noch mal einen Durchblick oder Überblick,
damit ihr anschließend den Durchblick habt, was das eigentlich so rein rechtlich
und gesetzlich bedeutet. Warum das einfach oder komplex ist. Und dann kommen wir zu
sechs Fallbeispielen, die ich euch einfach mal mitgebracht habe und im Detail
aufdröseln. Ja, rechtliche Definitionen was ist ein KRITIS-Betreiber? Gucken wir
mal von oben nach unten herab auf auf die einzelnen Ebenen. Die Europäische Union
hat das in der NIS-Richtlinie definiert. Die NIS 1.0, die 2er ist gerade in Arbeit,
Grusel Grusel. Aber da sind im Wesentlichen oder es sind Betreiber
wesentlicher Dienste definiert. Das sind dann sieben Stück an der Zahl. Und das
Ziel ist eben zu sagen Festlegung von Maßnahmen zum Erreichen des gemeinsamen
europäischen Sicherheitsniveaus von Netz- und Informationssystem. Soweit, so cool.
Klingt sinnvoll, ist aber gar nicht so trivial umzusetzen. Aus dieser NIS-
Richtlinie hat sich dann später eben das IT-Sicherheitsgesetz abgeleitet. Komme ich
gleich zu. Erst mal so ganz allgemein Bundesrepublik Deutschland hat eine
einheitliche Definition. Kritische Infrastrukturen auf Bundes und Landesebene
heißt, ja: "KRITIS sind Organisationen oder Einrichtungen mit wichtiger Bedeutung
für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig
wirkende Versorgungsengpässe, erhebliche Störung der öffentlichen Sicherheit oder
andere dramatische Folgen eintreten würden". Klingt jetzt nach Drama-Queen,
ist es aber auch, weil die Sektoren, die da definiert sind, Energie, Wasser, IT und
TK, Gesundheit, gerade Gesundheit, sehen wir jetz in der Pandemie, wenn die nicht
funktionieren, haben wir ganz schnell dramatische Folgen, nämlich Krisen, wie
beispielsweise auch die Pandemie eine querstellt. Und zusätzlich zu diesen
7 Sektoren kommen noch zwei dazu, die sind ein bisschen besonders in
Deutschland, nämlich Staat und Verwaltung und Medien und Kultur, denn Staat und
Verwaltung kann natürlich nicht auf auf BSI-Ebene, sag ich mal, Bundesamt für
Sicherheit in der Informationstechnik, geregelt werden. Genauso Medien und
Kultur, denn Medien werden zum Beispiel in den Landesmediengesetzen geregelt. Da darf
natürlich nicht der Bund ins Land rein grätschen. Das ist so ganz generell mal
der Stand. Dann habe ich gerade schon erwähnt IT-Sicherheitsgesetz 1.0 leitet
sich also aus der NIS-Richtlinie der EU ab. Das Gesetz zur Erhöhung der Sicherheit
informationstechnischer Systeme 2015 in Deutschland irgendwie aktiv geworden und
deckt im Endeffekt genau das ab als Zielsetzung, was wir gerade schon hatten
Absicherung der IT-Systeme und der digitalen Infrastruktur, Verbesserung der
IT-Sicherheit von Unternehmen der Bundesverwaltung. Ja gut, ist noch room
for improvement. Schutz der Bürgerinnen und Bürger im Internet. Ja, das ist noch
ganz viel room for improvement. Die Sektoren sind im wesentlichen dieselben,
die die EU definiert hat. Ist ja die Pflicht die EU Sicht in die Landessicht
sozusagen umzumünzen und das IT-SiG 2.0 ist ja demzufolge auch in Arbeit, genauso
wie die NIS 2 Richtlinie. Aber genau da so ebenfalls Grusel. Ja, aus dem IT-
Sicherheitsgesetz 1 leitet sich ab Dinge fürs BSI Gesetz, die da zu berücksichtigen
sind, ist ganz generisch erstmal. Festlegung der Aufgaben und Befugnisse des
BSI und eben weitergehende Befugnisse als Reaktion auf neue Bedrohung zunehmender
Bedeutung der Informations und Kommunikationstechnologie. Da haben wir
jetzt die sieben kritische Infrastruktur Sektoren der EU und sozusagen
deutschlandweit ohne die zwei Sonderlöckchen, die dann in dem BSI Gesetz
geregelt sind, wie der Ablauf ist, welche hoheitlichen Aufgaben und welche
Befugnisse, aber auch Rechte und Pflichten das BSI hat oder eben auch die einzelnen
kritischen Infrastruktur-Dienstleister und daran anhängend ist noch mal, weil wir
sind ja noch nicht fertig mit der Rechtslage, muss ja immer noch einer
draufgelegt werden, ein habe ich noch: die BSI-KRITIS-Verordnung, die ihr seht, da
drin wird der Schwellenwert der Leistungsfähigkeit, IT Sektor zum
Beispiel, definiert und die genaue Anlagenkategorie. Heißt
Frischwassergewinnungwerk, Abwasserentsorgung, das sind zwei Anlagen-
Kategorien. Ich betreibe solche Anlagen oder ein Frischwassergewinnungswerkbrunnen
wäre dann eben ein Brunnen zur Frischwasserentnahme, den ein Wasserwerk
nutzt, um Wasser zu produzieren. Und der Schwellenwert ist das, ab wann eigentlich
ein Dienstleister oder Leistungserbringer in diesem Sektor dann als kritische
Infrastruktur gilt. Und aktuell ist es relativ einfach. Die Schwellenwerte sind
bei allen sieben Sektoren pauschal immer 500.000 Personen in der Versorgung,
umgerechnet auf die Versorgungsleistungen. Heißt 22 Millionen Kubikmeter Frischwasser
pro Jahr beispielsweise, dann bin ich KRITIS. Mache ich weniger, dann bin ich
zwar in dem Sektor, aber diese ganzen Gesetzeslagen sind irrelevant. Trotz allem
ist es kritische Infrastruktur. Jetzt habe ich aber noch einen, weil er einfach, wenn
wir bis hierhin gekommen sind und die Länder vergessen, landesspezifische
Vorgaben gibt es natürlich dann auch noch mal. NRW habe ich jetzt die vom April 2020
Coronabetriebsverordnung rausgepickt. Die ist inzwischen auch schon aktualisiert
worden. Da ist teilweise auch die Definition übrigens schon wieder
rausgefallen. Dieser Paragraph 5 CoronaBetrVO gibt's gar nicht mehr. Aber
zu dem Zeitpunkt haben die auch versucht zu sagen: Hey, wir müssen hier irgendwie
den Schutz vor Neuinfizierungen regeln im Rahmen der BetreuungsInfrastruktur oder im
Rahmen der ja wichtigen Dienste oder systemkritische Dienste, systemrelevante
Systeme. Da wurden in jeder Verordnung wird es anders genannt. Jedes Land hat ja
eine. Und hier war es so, dass eben die sieben Klassischen benannt wurden:
staatliche Verwaltung auf sozusagen landesspezifischer Ebene, die Medien, ja,
weil die natürlich landesweit sind, aber da wurden eben auch beispielsweise
Schulen, Kinder- und Jugendhilfe und Behindertenhilfe gelistet als sozusagen
Sektoren kritischer Infrastruktur, bei der man irgendwie auch den Schutz vor
Neuinfizierung regeln muss. Ja, die Bundesländer generell Grusel, Grusel, das
war ja auch immer alles ein Hin und Her und dieses Hin und Her haben wir jetzt
noch nicht ausgestanden. Aber das war der Schnellüberblick über die gesetzlichen
Regelungen, damit war auch ein bisschen mehr Zeit haben, über die sechs
Fallbeispiele, die ich mitgebracht habe, zu reden. Ja, wie sieht kritischer
Infrastruktur in Pandemiezeiten aus? So. Eine Herausforderung, die so Anfang
letztes Jahr teilweise bei großen kritische Infrastruktur-Dienstleistern
schon im Januar längst adressiert wurden, da wart ihr wahrscheinlich noch gar nicht
im ersten, ja, ich nenne es jetzt einfach mal Lockdown oder im Homeoffice oder zu
Hause, wie auch immer. Die hatten also teilweise schon im Januar ihre
Pandemiekonzept ausgegraben und gesagt: Oh shit, wir müssen reagieren. Nachzügler im
Februar und diejenigen, die so nicht richtig davon mitbekommen haben, dann so
März, April. Aber das Wichtigste wurde eigentlich zeitnah realisiert. Es gab kaum
bekannt gewordene wesentliche Ausfälle, aber die Herausforderung war zum Beispiel
Ausfall systemrelevanten Personals zum Betrieb der kritischen Anlagen Kategorie,
damit die Versorgungsleistungen bei der Bevölkerung ankommt. Ich kann kein
Frischwassergewinnungswerk betreiben, also ein riesengroßen Pumpensteuerungsanlagen,
Labore, um den Wasserreinheitsgehalt aufrechtzuerhalten. Trinkwasser hat eine
sehr sehr hohe Anforderungen an die Trinkwasserqualität. Die ist deutlich
höher als bei in Flaschen abgefülltem Zeugs beispielsweise. Und die Szenarien
sind also, was war zu dem Zeitpunkt so das Szenario? Anreise der Mitarbeitenden vom
privaten Wohnsitz. Wie kriegen wir das geregelt? Da waren ja teilweise Busse und
Bahnen außer Betrieb oder durfte kaum jemand fahren. Wie auch immer. Ja, wenn
die Fahrgemeinschaften machen war auch wieder eine Infektionsrisiko. Kontakt zu
anderen Personen. Die gehen nach Hause und haben dann Kontakt mit Familie, Verkäufer
etc. pp. Und die Exposition gegenüber einer Infektion mit COVID-19 war natürlich
jederzeit gegeben. Kriegen wir das geregelt? Und die Auswirkungen dieser
Szenarien und Herausforderungen war dann eben Ausfall der Mitarbeitenden aufgrund
einer Infektion und eben erhöhtes Ansteckungsrisiko innerhalb der
Belegschaft. Da war also die Frage wie können wir da gegensteuern? Die haben
natürlich Pandemiekonzepte. Manche wurden auch noch mal spontan überarbeitet oder,
ups, wir müssen noch mal den Staub wegwischen und mal aktualisieren. Aber
viele hatten schon laufende Konstrukte. Muss man fairerweise auch sagen. So
schlimm sieht es nicht aus. Aber die Herausforderung war auf jeden Fall
gegeben. Wie sahen die Lösungen aus? Wenn du zum Beispiel so ein Leitstand in einem
Kraftwerk hast oder ein Leitstand in 'nem Wasserwerk, muss du eben schauen, dass du
das systemrelevante Betriebsteam isoliert. Das heißt du nimmst Leute, die den
Leitstand besetzen, aber auch zum Beispiel nen Elektriker. Wenn mal 'ne Kleinigkeit
ist, muss er das schrauben und machen und tun. Und den hast du natürlich mit vor Ort
im Team. Und ja, die brauchen natürlich Bereitstellung von Unterkünften am
Arbeitsplatz, weil die wurden isoliert. Isoliert heißt wirklich abgetrennt. Die
haben also am Arbeitsplatz Schlafmöglichkeiten und Aufenthaltsräume
bereitgestellt oder eben aktiviert. So wie das Pandemiekonzept das vorsieht.
Teilweise haben die die dann, also nicht teilweise, die allermeisten haben sie
eigentlich freiwillig gefragt. Hier habt ihr da Lust, Zeit und Nerv zu? Wollt ihr
euch freiwillig sechs Wochen oder vier Wochen oder wie der Zyklus bei denen eben
ist, in eine Isolation begeben? Ihr kriegt dann extra für und die Bevölkerung wird
euch lieben. Ihr dürft natürlich auch Kontakt zu der Familie halten etc. Aber
nur remote wird alles aufgeschaltet. Kein Thema. Aber eben auch wir stellen euch
Schlafmöglichkeiten, Aufenthaltsräume bereit. Was man noch berücksichtigen
musste waren dann Dinge des täglichen Bedarfs: Waschmaschine aufstellen,
Waschmittel, jede Menge Nahrungsmittel verpacktes wie auch, und natürlich bis zu
einem gewissen Grad, frisches über eine Sicherheitsschleuse sozusagen
Vereinzelungsschleusern der Form, dass man Nachschub sozusagen da rein stellt, eine
Weile wartet und versucht das ummantelt zu haben, desinfizieren und dann eben ziehen
die das da rein, packen alles aus, versuchen auch noch mal zu warten und
alles zu desinfizieren und dann eben die Sachen einzubringen. Und da wurde dann
beispielsweise eben auch Trinkwasser reingebracht, wenn man nicht fließend
Wasser da sowieso hatte. Ja auch so was wie Tee oder Kaffee, Kaffee, schwarz, heiß
und schön lecker Junge, wird also alles, was man im täglichen Bedarf braucht, in
der Isolation eben vorbereitet und über die Schleuse dann die Weiterversorgung
sichergestellt. Und, was sie auch sicherstellen mussten, psychologische
Fürsorge durch Beschäftigungsmöglichkeiten und psychologische Betreuung. Denn
Isolation, so vier oder sechs Wochen immer dieselben Leute, ist natürlich auch hart.
Draußen ist die Familie in dieser unklaren Situation. Wir denken mal zurück. März,
April, Mai, letztes Jahr. Keiner wusste so richtig, was passiert. Was wird. Es kamen
fast täglich neue Studien. Die Wissenschaftler haben neue Erkenntnisse
gehabt. Die Politik hat gesagt hü, hott, nein, ja, doch, vielleicht, wir schauen
mal, dinge aus Gründen. In der Situation dann zu sagen Ich lass meine Familie im
Stich und gehe jetzt sozusagen die Bevölkerung retten ist natürlich auch
psychologisch sehr viel Druck und da gab es dann entsprechend auch Fürsorge, bei
denen wo es notwendig war oder die wurde generell bereitgestellt. Es gibt natürlich
auch immer Einzelfälle, wo das vergessen wurde oder nicht ordentlich betrachtet
wurde. Es gibt auch viele Einzelfälle, wenn man jetzt mal in die Krankenhäuser
und Pflegeheime schaut. Der Sektor Gesundheit, da hat ja die Politik nicht
gerade mit Glanz und Ruhm gehandelt. Wir erinnern uns noch an 20 Uhr gehen wir
auf'n Balkon und klatschen mal 'ne Runde. Aber wenn Tarifverhandlungen waren, hat
das Bundesgesundheitsministerium gesagt: Nö, Tarifeupgrade gibt's nicht, es gibt
eine Einmalzahlung, aber mehr Geld? Nö. Ist natürlich auch psychologischer Druck,
der nicht unbedingt dafür sorgt, dass man sagt: Hey, ich hab diesen Beruf aus Herzen
gewählt und jetzt mach ich das auch. Also all das kommt zusammen. Es ist
systemrelevant, das Personal, es wurden Maßnahmen getroffen, damit man eben den
Ausfall kompensiert. Teilweise haben es ganz große
Betreiber, jetzt Atomkraftwerk, Leitstand oder so auch
durchaus so geregelt, dass sie gesagt haben, wir haben
ein Betriebsteam vor Ort. Wir haben ein weiteres unabhängig isoliert an einer
anderen Station oder in separaten Räumlichkeiten, sodass also wenn dieses
Betriebsteam warum auch immer eine COVID- Infektion eingeschleust bekommt und wir
das nicht verhindern konnten, kann es ja sein, dass sie alle komplett ausfallen und
dann müssen wir eben ein zweites Team ready haben und manche hatten sogar ein
drittes Team hot-spare, also das wirklich dann im Worst Case zwei komplette
systemrelevante Betriebsteams ausfallen konnten und ein Drittes noch da war, um
den Betrieb sicherzustellen. Und das alles ist weitestgehend transparent im
Hintergrund passiert und kaum in den Medien oder in der Presse gewesen. Hier
und da mal so ein bisschen, Stadtwerke in Wien oder so hatten da mal ein Bericht zu
gemacht. Also man kann da ein bisschen zu recherchieren, aber im Wesentlichen machen
die schon seit vielen Jahren immer ihren
Dienst im Hintergrund und das fällt dann auch nicht so auf.
Deswegen hier noch mal ein dickes, fettes Danke an alle
systemrelevanten Personen, die sich in Isolation begeben haben, die trotz dieser
Krisenlage permanent ihren Schichtdienst aufrecht halten und kümmern und machen und
tun. Das ist wirklich ein dickes, fettes Dankeschön wert. Und ich verneige mich und
geb mein Respekt an all diese Personen. Joa, zweite Herausforderung, wat hab wer
denn noch? Wir haben ja gerade schon gesagt Frischwasser, wat frisch reinkommt,
muss auch hässlich wieder weg. Alles Kacke, ne? Abwasserentsorgung, so. Wat ham
wir gehabt? Wir haben die Herausforderung gehabt,
die Leute hamstern Toilettenpapier auch nicht so auf.
Es gibt temporär Mangel an Toilettenpapier. Die Endverbraucher-
Toilettenpapier waren dann sozusagen nicht mehr da, aber die Industrieprodukte waren
da. Das heißt, wenn ich so große Rollen habe, die ich in der Industrie fertige und
dann auch in den Produktionshallen habe, aber so kleine Rollen, die für zu Hause
sind sozusagen, und sich plötzlich alles von Industrie und Produktion und
Wirtschaft in Richtung Homeoffice verschiebt, oder Lockdown anfangs, dann
kann ich natürlich nicht Produkt A mit Produkt B mal eben austauschen, weil die
Produktionsstraßen und die Fertigung eine ganz andere sind. Und das hat dann
tatsächlich zu diesem, inklusive dem Hamstern dazu geführt, dass es einen
Engpass gab, temporär. Und ja, auch die Logistik war natürlich eine
Herausforderung, weil die großen Rollen anders verpackt in viel größeren, also
palettenweise normalerweise wie ein Produkt, das ist halt 'ne Palette mit
einzeln abgepackten, so Achter- oder Sechserpacks oder 10er Packs. Und so war
also auch das eine Herausforderung, wie man das logistisch meistert. Die
Verwendung von Alternativen wurde dann teilweise als Herausforderung angegangen.
Dann nehm ich halt Küchentücher, Taschentücher, Feuchttücher. Kann aber
auch eine Herausforderung werden, denn die Dinger sind reißfest im Gegenzug zu
Toilettenpapier, was sich auflöst. Das heißt, wir reden von Fremdkörpern im
Abwasser und das beeinträchtigt dann eben das Klärwerk durch verstopfte Pumpen,
teilweise, oder eben durch eine höhere
Frequenz der Rechenreinigung. Wenn du die Rechenreinigung
mit einer höheren Frequenz versehen muss, muss auch die
Abfallentsorgung mit einer höheren Frequenz versehen. In einem Zeitraum, wo
selbst die LKW-Fahrer, die dann den Abtransport regeln oder auch die
Müllkippen sozusagen dann teilweise im Lockdown waren, oder in Notdienst
sozusagen. Ja, wie sah die Lösung aus? Für den Teil Hamstern von
Toilettenpapier und Mangel gab es so eine Art Eigenregulierung
durch den Einzelhandel und die Produktion.
Ganz spannend. Es gab so Begrenzung der Vergabe von Toilettenpapier, um die
breitere Masse zu versorgen und Selbstregulierung durch die Umstellung der
Produktion. War also teilweise so Dinge gegeben wie jeder darf nur ein
Toilettenpapierset kaufen oder das erste kostet 3.99, jedes weitere 15 Euro, wenn
man halt mehrere kauft, damit die Leute einfach sagen Okay, ich bin jetzt, ich
hamster nicht, sondern geh mal freundlich mit allen anderen um. Ja, Verwendung von
Alternativen oder Beeinträchtigung der Klärwerke war eben das Problem, dass diese
Alternativen wie gesagt alles verstopfen können. Die Alternativen, die so von den
Klärwerkbetreibern kommuniziert wurden, waren dann sowas wie Bidets, mobile
Bidets, gibt es auch, so kleine Spritz- Drück-Pumpen sozusagen quasi. Waschlappen
oder Duschen, so dass man da also auch versucht hat, die Leute davon abzubringen,
Feststoffe in die Kanalisation einzuführen. Das ist wahrscheinlich
weitestgehend intransparent für euch geschehen, denn wenige von euch haben
wahrscheinlich diese Aufrufe gehört. Ich habe es auch versucht zu fördern mit den
Abwasser- und Klärwerk-Anlagenbetreiber. Wie so viele in diesen Bereichen. Aber das
ist natürlich keine große Ausstrahlung. Dann haben wir so Herausforderung gehabt
wie wenn du dein Rechenzentrum im Quarantänegebiet betreibst und das
Rechenzentrum dann aufgrund landesweiter Ausgangsbeschränkungen nicht so wirklich
sinnvoll erreichen kannst, tja, wie kommen dann die systemrelevanten Mitarbeiter
dahin? Man muss also erst mal klären, Kontaktaufnahme mit dem zuständigen
Gesundheitsamt zur Aufstellung von Ausnahmegenehmigungen. Das muss vorher
geklärt werden. Man muss wissen, welches Gesundheitsamt zuständig ist. Zu dem
Zeitpunkt war denen auch noch nicht ganz klar, wofür die wann wie zuständig sind
und wie man die Ausnahmegenehmigungen ausstellt etc. Ich beispielsweise habe von
meinem Arbeitgeber eine Ausnahmegenehmigung erhalten, weil ich
eben Dienstleistungen für den Betrieb kritischer Infrastrukturen sicherstelle,
sodass also wenn ich zu einem Kunden oder ins Büro musste, was übrigens sehr, sehr
selten war. Seit Anfang Februar habe ich dann trotzdem die Möglichkeit gehabt,
diesen Beleg mit meinem Personalausweis im Portemonnaie gehabt und hätte das
vorzeigen können. Das war also das eine. Das andere ist halt eine Implementierung
Journal-basierte asynchroner Replikation über weite Entfernungen, so dass man also
eine redundante Datenhalde in einer nicht Quarantänezone hat, idealerweise. Aber
wenn halt weltweite Pandemie ist, dann ist das auch kein Garant, dass nicht alle
redundanten Bereiche vielleicht einer Ausgangsbeschränkung unterliegen. Also es
war auch manchmal eine Herausforderung, da von den Gesundheitsämtern irgendwie die
Hilfe zu bekommen, aber in der Regel ging es relativ fluffig. Ansonsten konnten eben
diverse Leute wie ich oder alle Kollegen, die ganzen anderen Mitbewerber auch
durchaus unter die Arme greifen und sagen Leute ihr müsst da und da hin, kümmert
euch um den und den Beleg, hier ist ein Template. Das ist der Text, machen, ja
machen. Zeit ist irgendwie kritisch. Ja, dann haben wir noch gehabt,
Einschränkungen im Einzelhandel. Wir haben ja jetzt schon das Klopapier besprochen.
Jetzt kommen wir mal zu den Nudels. Logistik. Lagerkapazitäten und die
Produktion der Ware waren gewährleistet, sind dann aber in Verzögerung gekommen,
weil natürlich diese Supply Chain und das Just in Time Delivery nicht mehr so ganz
funktioniert hat und dann sind die Lagerkapazitäten auch bedroht gewesen
dadurch, dass es Grenzkontrollen gab für den Warentransport. Es gab ja teilweise
Berichte, wo an der Grenze Polen nach Deutschland 60 km LKW-Stau war und die
Leute tagelang da festhingen und versorgt werden mussten, damit sie nach Deutschland
reinkommen. Quelle vie an der Stelle, LKW- Fahrer, die dann eingereist sind mussten
teilweise eine Zeit lang 14 Tage in Quarantäne sitzen, um dann wieder ins
Ausland zurück zu fahren oder sind sogar hier erkrankt und umgekehrt, sind ins
Ausland gefahren, mussten da 14 Tage in Quarantäne bleiben oder sind da erkrankt.
Heißt, es gab natürlich auch da schwerwiegende ernste Fälle, aber es gab
eben auch die 14-tägige Frist, so dass die natürlich nicht den Umschlag ruckzuck
machen konnten, und zack haste ein Defizit an Fahrern und damit auch nicht mehr die
passende Lagerkapazität, weil einfach der Transport nicht sichergestellt werden
konnte. Ja, die haben Hamsterkäufe haben natürlich den Warenbedarf erhöht.
Temporärer Mangel wurde damit entsprechend gefördert. Wie hat man dem gegengesteuert?
Beispielsweise hat Aldi die damals gesagt: So, dieses Nudeldefizit geht ja mal gar
nicht. Wir müssen den Warentransport irgendwie umschlagen auf Schienenverkehr
und haben mit DB Schenker kurzfristig, kann man auf 'nem Bericht irgendwo lesen,
haben die gesagt Okay, dann machen wir jetzt nicht mehr LKW-Fahrerei, sondern
holen uns über DB Schenker, so 60 Tonnen oder wie viel auch immer Nudeln aus
Italien hier rein und dann gibt es auch kein Defizit mehr. Das hat dann natürlich
eine Weile gedauert. Wenn man das mal eben umstellt. Man braucht regulatorische
Abkommen zwischen diesen jeweiligen Handelspartnern. Man muss die bestehenden
Verträge außer Kraft setzen, neue Verträge kurzfristig machen. Die Bereitschaft von
DB Schenker und die Kapazität muss da sein. Man musste dann auch gucken, jetzt
hat man nicht die übliche Anlieferung an den Lagerraum, sondern über den
Schienenverkehr bis zu einem bestimmten Schienenendpunkt und von da aus musste man
logistisch noch weiter ziehen etc. pp. So also einen Riesenaufwand, der einen
Rattenschwanz daherkommt, um dieses Supply Chain aufrechtzuerhalten. Aber am Ende hat
es funktioniert. Wir konnten alle wieder Klopapier und Nudeln sozusagen benutzen
und verwenden und Essen und Trallala. Also der Güterfluss wurde sozusagen über diese
Ebenen dann auch wieder zügig etabliert. Ja, dann hatten wir noch Einschränkungen
der Siedlungsabfallentsorgung. Ich habe ja gerade schon erwähnt, Klärwerke hatten
Defizite bei der Abfallentsorgung, aber Siedlungsabfallentsorgung natürlich auch.
Also alles was wir so privat an Müll generieren. Wichtig an der Stelle
Siedlungsabfallentsorgung ist derzeit keine kritische Infrastruktur im Sinne des
BSI Gesetzes, IT-Sicherheitsgesetzes, aber der Ausfall hat weitreichende Folgen für
Gesundheit und Umwelt. Also Umweltschäden als auch Gesundheitliches. Es kann sogar
eine Pandemie fördern. Herausforderung war: Es gab eine Einstellung des Betriebs
von Wertstoffhöfen inklusive der Sammlung von Sonderabfällen. Aber es gab eben auch
eine verringerte Abholfrequenz, weil die natürlich aufgrund eingeschränkter
Verfügbarkeit der Mitarbeiterinnen auch ein Defizit hatten zu sagen Okay, wir
kennen den Regelzyklus nicht einhalten. Wie kriegen wir das jetzt bewerkstelligt?
Dafür gab es halt auch ein paar Lösungsideen. Das BMI hat langfristig zum
Beispiel vorgeschlagen, Siedlungsabfallentsorgung als kritische
Infrastruktur aufzunehmen. Das heißt, im Entwurf des IT-Sicherheitsgesetz 2.0 wurde
Siedlungsabfallentsorgung sozusagen dann jetzt als KRITIS mit aufgenommen. Und die
Lösung zum Umgang mit den Abfällen war auch so, man hat natürlich auch erheblich
Gefahr, dass man Kontakt mit dem Coronavirus hat, das heißt die Entsorgung
von Abfällen und die Kontakt mit dem Coronavirus hatten nur in die
Restmülltonne, weil das ganze wird mit einer höheren Verbrennungtemperatur
vernichtet und Deklaration von Abfällen aus Krankenhäusern, die Coronafälle
behandeln, als gefährlicher Abfall. Heißt Erfordernis von reisfesten,
feuchtigkeitsbeständigen und dichten Behältnissen, damit natürlich keine
Gefahrengüter sozusagen da irgendwie auslaufen oder so, und die Mitarbeiter
infizieren, und Transport nach dem Gefahrgutrecht. Also das alles ist sehr
aufwendig und teuer, aber sowas hat man beispielsweise auch in der
Abfallentsorgung bei der Siedlungsabfallentsorgung in Teilen auch
gemacht. Man hat die Bevölkerung dazu aufgerufen, muss aber ehrlich sein, nicht
viele, oder viele haben es nicht mitbekommen oder gesagt, na ja, ich
sortiere immer noch meinen Abfall ordentlich und mach jetzt nicht alles, was
vielleicht Kontakt gehabt haben könnte in die Restmülltonne. Wenn man Vorfall in der
Familie hat, denkt man erst mal an die Familienmitglieder logischerweise und
nicht daran, ob ich den Abfall richtig sortiere. Aber trotzdem ein wichtiger
Punkt. Ja, und IT-Systeme von Krankenhäusern, Ransomware-Angriffe auf
Krankenhäuser gab es beispielsweise und gibt es immer noch, auch aktuell. Vielen
Dank noch mal an die Kollegen der Incident Response und Forensik, die gerade alle im
Einsatz sind in der Osterzeit, um Krankenhäuser, Arztpraxen, Dialysezentren,
Pflegeheime und sonst was alles aufrecht zu erhalten, die gerade kompromittiert
wurden und erpresst werden. Es gibt dadurch aber eingeschränkte
Netzwerkkommunikation, Systemverschlüsselungen und eben
Integritätsverlust der Daten und das bedeutet
erhebliche Einschränkungen im Krankenhausbetrieb.
Wir haben über Corona sowieso schon eine Verschiebung von
Operationen oder das Verlegen von Patienten bei einer Ransomwareattacke
teilweise dann auch. Es gibt fehlende Informationen zu Patienten und es gibt
Einschränkungen der Laborkapazitäten. Also das alles ist auch noch mal ein
Problemverstärker und die World Health Organization oder eben auch Coronavirus
Testzentrum in Tschechien beispielsweise wurden erfolgreich angegriffen letztes
Jahr. Das alles ist also auch noch mal die Herausforderung, sozusagen eine Krise in
der Krise. Ja, wir haben die Krise, Pandemie und dann kommt noch eine
Ransomware als Krise dazu. Also wenn eine Krise schon scheiße ist. Ganz ehrlich,
eine Krise in der Krise ist so richtig übel. Wie geht man da vor? Konsequente
Umsetzung der IT-Sicherheit. Orientieren am B3S, am branchenspezifischen
Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus. Das
gibt's, kann man umsetzen. Es gibt nen OZG, ne, KZG, Krankenhauszukunftsgesetz,
wo auch Gelder für IT-Sicherheit endlich bereitstellen, die bereitgestellt wurden,
die jahrelang verzögert und aufgestaut wurden. Man kann sich natürlich all die
Sicherheitsfirmen als Unterstützung dazu holen, nämlich Incident Response Forensik.
Teilweise haben die auch auch Dienstleister, weil sie eine
Cyberversicherung haben und diesen waren ausgerückt und machen da die Bekämpfung
der sich als Sicherheitsvorfälle und die Inbetriebnahme wieder dieser ja manchmal
skurrilen Infrastruktur mit Windows 95 oder mit proprietären Klartextprotokollen
etc. pp. Ja, sie brauchen natürlich einen Notfall- und Krisenmanagement, was die
Gleichzeitigkeit von Krisenereignissen auch entsprechend managt und behandelt,
was was eben dann auch noch mal zu berücksichtigen ist. Das sind alles
Punkte, die ja zur Lösung helfen können, dass man eben nicht durch Ransomware
angegriffen wird. So, damit bin ich im Wesentlichen durch. Noch mal
Schleichwerbung für den vorhin erwähnten von der DiVOC ppt im September letztes
Jahr Vortrag. Wer da nochmal reinhören will, die Erlebnisse eines KRITIS-Prüfers,
unabhängig von einer Pandemie, der sei auf diesen Link oder auf diesen Vortrag
verwiesen. Da habe ich noch mal ein bisschen zusammen erklärt, wie kreativ die
eigentlich umgehen, um seriös und dauerhaft sicherzustellen, dass die
Versorgungsleistung kein Engpass und keinen Ausfall hat. Ja, und damit würde
ich sagen vielen lieben Dank. Und kommen wir zurück zu Pupe. Noch hör ich nix.
Engel: Ja, das ist dieser Taste, die ist manchmal KRITIS. Gerade in Telkos. *lachen*
HonkHase: Ja, manchmal ist mein Ohr auch KRITIS, deswegen passt schon.
Engel: Ja dann Applaus. Applaus, Applaus. Vorhin hast du es vielleicht nur gesehen.
Herzlichen Dank für den Vortrag. So langsam sind's ja immer so ein Modul nach
dem nächsten und ich bin dann gespannt, was dein nächster Vortrag zu dem Thema
sein wird. Vielleicht ist das ja dann irgendwann mal so eine Lehrreihe,
irgendwie alles über media.ccc.de nutzbar und das wird dann vielleicht auch noch
irgendwann richtig schön gefördert. Aber erst mal kommen wir zu den Fragen und den
Kommentaren, welche mich über das Pad erreicht haben. Der Link zum Pad ist ja
sozusagen im Programm zu finden und da könnt ihr sogar jetzt noch in Echtzeit
Dinge reinschreiben. Ich sehe die dann sozusagen direkt. Ja und während ich das
sage, kommt hier sogar 'ne neue Frage. F: Was ist mit der Heizungsinfrastruktur?
Gehört die nicht zu KRITIS? A: Also Fernwärmeversorgung ja die
Fernwärmerohrleitungen, aber die Heizungsinfrastruktur ich würde jetzt mal
interpretieren, dass das die vom Gebäude ist oder so, das ist der Endnutzer selbst
und der Endnutzer oder Einzelkomponenten sind nie KRITIS. Es geht immer nur um die
zentralen Komponenten, die sozusagen Massenausfall bewirken, sprich die
Kraftwerke, die Übertragungsnetzbetreiber um den Strom zu liefern, das
Fernwärmenetz, die Tanklager für Heizöl und Diesel, die Raffinerien, die das
erzeugen und so weiter und so fort. Das Heizungsnetz in einem Hochhaus oder in
einem Haus ist ja sozusagen die Einzelversorgung und die ist da sozusagen
nicht relevant, denn wenn einer ausfällt, dann kann ich im Notfall zum Nachbarn oder
rufen 'nen Reparaturdienst oder was auch immer. Wenn aber die zentrale Fernwärme
ausfällt, dann habe ich ja viele 100.000 Leute, die bedroht sind und das haben wir
ja beispielsweise in Texas gesehen von vor wenigen Wochen noch. Texas hat einen
kompletten Blackout. Es gibt in den USA drei Netze Ost, West, Texas. Texas ist
schlau und hat gesagt wir verzichten auf alle anderen. Wir betreiben ein eigenes
Netz und dieses eigene Netz ist zusammengebrochen als Blackout. Und in
Texas gab es dann eben keine Heizung, kein laufend Wasser, weil ohne Strom gibt es
irgendwann auch keine Wasserpumpen mehr. Und das war zu einer Zeit, wo es sehr sehr
kalt ist, war. Und ja, dann sind auch die Wasserrohre und die Heizungsrohre
eingefroren, aufgeplatzt. Und als es dann abgetaut ist oder auch Strom wieder da
war, sind die ganzen aufgeplatzten Rohre dann ausgelaufen und man hat überall
Wasserschäden und immer noch keinen Strom und Wasser. Also so mies kann's laufen
aber das war dann sozusagen das Stromnetz, was ausgefallen ist, und das ist dann
KRITIS, aber nicht das Einzelnetz. Engel: Ja, also, da kann man amerikanische
Podcast hören von Leuten, die in Texas lebten. Also, das war, ja, ein Drama.
Jetzt kommt noch eine ergänzende Frage sozusagen dahinter. Ich denke mal auch
wieder. F: Was ist mit Handwerkern und Großhandel?
A: Also Handwerker, ja ein Handwerker müsste dann mehr als 500.000 Personen
versorgen in einer Anlagenkategorie, die kritisch ist, wüsste ich jetzt spontan
keinen. Ja, kann ich nicht, wüsste ich nicht. Großhandel ja, also wenn du jetzt
so, keine Ahnung, beliebige, hier, Metro- Ketten oder so wat, so 'ne Kette ist so
groß, dass sie Einzelhandel bei der Versorgung mit Ernährung, also KRITIS-
Sektor Ernährung mit der Versorgung sicherstellen. Und die sind kritische
Infrastruktur, wenn Sie mehr als 500.000 Personen versorgen, und da gibt es im
Handel tatsächlich einige, die darunter fallen. Auch beispielsweise nicht nur
Handel, sondern auch Molkereien. Ja, die sind ja auch im Ernährungssektor tätig.
Engel: Also lösen das unter KRITIS fallende Firmen eigentlich dadurch, dass
sie zum Beispiel Zulieferer, irgendwie, die können es nicht vererben, aber es wird
dann einfach mit in die Verträge reingeschrieben. Oder wie macht man das?
Wie stellt man das sicher? A: Also wenn ich KRITIS-Betreiber bin,
muss ich natürlich diese Anlage, die ich betreibe, sicherstellen. Das heißt, wenn
ich ein Zulieferer hab, der irgendwie Wartung oder Betrieb dieser Komponenten
macht und es geht immer um den IT-Teil, laut IT-Sicherheitsgesetz oder BSI-Gesetz.
Wenn ich also die IT-Wartung oder den Betrieb der Produktion macht der OT der
SCADA-Komponenten, der Prozessleittechnik oder so, dann muss ich da sicherstellen,
dass auch die Zulieferer, die diese Komponenten für mich austauschen, warten,
Fernzugriff machen, ja, Fernwartung und Fernzugriff ist so ein Albtraum für sich,
habe ich übrigens in dem Vortrag Erfahrung eines KRITIS-Prüfers ...
Engel: ... ich weiß ... *lächelt* A: da habe ich den Fernwartungarchäologen
ins Leben gerufen und gesagt, ey immer wenn ich dieses Wort höre, kriege ich
Bauchschmerzen, das ist einfach so. Aber das alles muss man dann vertraglich mit
diesen Zulieferern regeln. Was nicht geregelt werden muss, ist sozusagen die
grundsätzliche Supply Chain, also Wasser oder Strom, weil das ist sozusagen
grundsätzliche Zulieferung oder beispielsweise bei einer Molkerei, dass
die Tanklaster Milch vorbeifahren können. Das hat dann nichts mehr mit IT zu tun.
Und Kühe produzieren immer. Ob das dann ankommt, ist eine andere Frage.
Engel: Bis sie ein OT-Ship haben. So, dann geht es weiter im Fragenkatalog.
F: Wie viel ist KRITIS / IT und wie viel ist im Allgemeinen Katastrophenvorsorge?
A: Dat kann man nicht nach wie viel beurteilen. Es gibt ca. 2.000, nicht ganz
2.000 kritische Infrastrukturen in Deutschland, die so geschätzt sind. Ich
glaube beim BSI sind aktuell registriert 1.600 Anlagenkategorien oder so. Die mehr
als 500.000 Personen versorgen. Im Allgemeinen Notversorgung, das umschließt
ja noch viel mehr. Also da geht ja auch hier Krisenmanagement der Länder, der
Kommunen, Bundesregierung alles mögliche rein. Auch die ganzen Deutsche Rote Kreuz
und sonstigen ehrenamtlichen Helfer, selbst THW, Freiwillige Feuerwehr, das
wird alles unter Katastrophenhelfer gezählt und sogar Bundeswehr, die ja im
äußersten Notfall auch hilft. Der äußersten Notfall ist jetzt schon seit
einem Jahr etablierter Standard. Ist eigentlich auch Fail by Design. So was
nutzt man nur im äußersten Notfall und guckt auch ganz schnell, dass man wieder
von diesem äußersten Notfall wegkommt. Weil wenn ich dann noch mal eine Krise
obendrauf krieg, dann ist Game Over und dann haben wir wirklich Holland in Not und
Deutschland noch dazu und alles andere. Aber, ja, kann ich jetzt. Ich wüsste
nicht, ob das da irgendwo Zahlen gibt, außer das, was so veröffentlicht wird. THW
hat 85.000 Mitglieder, ungefähr 80.000 davon sind beispielsweise dann
ehrenamtlich, aber kann man jetzt nicht alle einzeln oder gesamt aufdröseln.
Wüsste ich nicht. F: Dann geht es weiter. Was ist deine
Einschätzung zum Sektor Zahlungsverkehr? Zum Beispiel Haspa, Geldautomatenausfall,
Einführung starke Ausführ-PSD II, kein Login ohne 2F2, also 2-Faktor-
Authentifizierung. A: Ja, also, man muss sagen, der Sektor
Finanz- und Versicherungswesen ist, und wenn man da nur den Bankenteil betrachtet,
nicht die Börsen und die Versicherungen, die haben zwar Altlasten und uralte
Systeme, teilweise auch im Einsatz, und echt komplexe Infrastrukturen. Die
Deutsche Bank hatte vor, ich weiß nicht mehr, 2 Jahren oder so, hatten die ja mal
gesagt wir haben hier insgesamt 7.000 verschiedene Anwendungen und
Kernkomponenten und eine Anwendung kann beliebig komplex werden und viele Systeme
haben, aber man muss fairerweise auch sagen, sie sind sehr reguliert, ja, eine
Bank wenn die einen Vorfall hat, dann muss die beispielsweise melden an, vielleicht
an die EZB, also an die Europäische Zentralbank, an die Bundesbank, an 'ne
Cyberversicherung, wenn sie eine hat und die meisten haben eine. Du musst melden an
die BaFin, du musst ans BSI melden. Also wirklich Kreuch und Fleuch an jeder
Stelle, du wirst überreguliert und wenn du dann noch eine Anmeldung für Finanzamt in
den USA hast, dann muss du irgendwie an New York irgendwie da auch noch eine
spezielle Meldung machen. Wenn du in Singapur irgendwie ein Büro hast, Singapur
verlangt, dass du ein lokales Office haben musst, und wenn du unter den offiziellen
Regularien in Singapur bist, muss du da auch noch mal eine separate Meldung
machen, wenn du an, naja gut Börse haben wir gerade ausgeklammert, aber wenn wir
beispielsweise jetzt eMoney-Lizenz an der Börse in UK haben, dann muss man da noch
mal melden. Also du kannst dich tot melden und du kannst auch so konfiguriert werden
mit irgendwelchen Complianceregularien, die oft genug im Widerspruch stehen. Das
macht es dann auch nicht trivial mal eine Kernanwendung wo Millionen von Leute drauf
tagtäglich rund um die Uhr arbeiten und auch erwarten, dass mein Geld aus dem
Automaten plöpt oder so, mache ich mal kurz eine Anpassung. Also ist gut wie
schlecht. Ist es gut überreguliert und auch gut abgehangen, aber andererseits
schlecht, weil diese Überregulierung das auch extrem marode und Never change a
running system und wenn du es anfasst explodiert eh alles und du bist fällig.
Keiner will es anfassen. Also alle - und das übrigens Sneak Preview, IT-
Sicherheitsgesetz 2.0 wird genau so was einbringen für die kritischen
Infrastrukturen. Es wird komplexer, es wird sinnloser, es wird sinnfreier.
Deswegen grusel ich mich jetzt schon davor alle 6 Sachverständigen im Bundestag,
ich war einer davon, haben dagegen gemault, selbst die von der CDU. Und es
hat das BMI völlig nicht interessiert. Die laufen immer noch rum und sagen
Yeah, wir sind die Besten, tolles Gesetz, alle nur positiv.
Engel: Lustigerweise musste ich gerade an diese Anhörung denken, weil in der
Anhörung hast du auch so viel gesprochen und bist nie zum Ende gekommen.
HonkHase: 'tschuldigung Engel: Und es werden zunehmend mehr
Fragen. Nein, ich freue ja aber HonkHase: dann mich ich's kürzer jetzt
Engel: Während wir reden kommen immer neue Fragen rein. Ist total spannend, was noch
alles kommt. So. F: Warum ist dann die Logistik noch kein
KRITIS? Ohne Logistik funktioniert auch keine Infrastruktur so wirklich, oder?
A: Das ist einfach. KRITIS-Sektor Transport und Verkehr. Logistik über
500.000 Personen ist abgedeckt. Nächste Frage.
Engel: Volle Punktzahl. F: Inwieweit achtet ihr eigentlich auf
Paketversionen bei Dependencies, wenn ihr mit Kunden arbeitet? Mir scheint, als
wären bei vielen Zertifizierungen unter anderem nur geprüft wird, ob von Lib X die
neueste Version genutzt wird. Worauf scheinbar nicht geachtet wird ist, wie
alt, veraltet, verbuggt, ist diese neueste Version.
A: Also eine KRITIS-Prüfung ist nur eine Prüfung und keine Zertifizierung. Man
kriegt also kein Bapperl danach, sondern lediglich eine Einhaltung der
Gesetzesvorlage als Empfehlung und die Einhaltung sprechen dann BSI teilweise im
Benehmen oder Einvernehmen mit der Aufsichtsbehörde aus. Aber das Problem bei
Zertifizierung kenne ich. Ich kenn nämlich auch so den einen oder anderen
Zertifizierer. Das sind dann, wie soll ich sagen, Ahnungslose oder Blinde unter den
Einäugigen. Wenn die natürlich nicht wissen, was es bedeutet, ja, Secure
Software Development Life Cycle, Anpassungen, Updates oder Upgrades in der
Form, dass da auch die Dependencies berücksichtigst, aber nicht jede, nämlich
nicht jede, die ein Feature beinhaltet, was dich nicht interessiert, aber jede die
ein Security Update hat, oder wenn eine Dependency out of maintenance ist, machen
aber tatsächlich viele nicht, weil sie so tief gar nicht prüfen, was eigentlich
schade ist, weil ja, es ist eine der großen Lücken, die oft genug vorkommen.
F: Ja, dann gab es neue Erkenntnisse zur Kritikalität von nicht als KRITIS
eingestuften Infrastrukturen. Stichwort Pharmaproduktion, Altenheim, Supply Chain,
Europäische Cloud Rechenzentren. A: Jein. Also für mich ja, für die AG
KRITIS auch ja, für diverse kritische Infrastrukturbetreiber oder die
Mitarbeiter ja, für manche Wirtschaftsverbände nicht mehr so ja, für
die Länder und die Bundesregierung eher nicht so ja, und das BMI ey tschakka,
alles cool. Wir packen jetzt die Siedlungsabfallentsorgung dazu und dann
diese UNBÖFI, Unternehmen im besonderen öffentlichen Interesse, und dann noch
diese komischen, hier und da noch so ein bisschen, und dann ist schick. Also,
meiner Meinung nach, meiner ganz persönlichen Meinung nach, komplettes Fail
und Versagen, weil die echten Bedarfe wurden nicht adressiert, sondern wieder
irgendwelche kaschierten Düdeldüs. Ja, so sieht es aus
F Jetzt eine sehr spannende Frage. Wird bei der Lebensmittelindustrie
unterschieden, ob zum Beispiel Molkereiprodukte versus Bonbon-Fabrik?
A: Nein. Wenn du eine Versorgung über 500.000 Personen sicherstellen musst, dann
bist du KRITIS. Es gibt aber verschiedene Anlagenkategorien. Also Herstellung,
Vertrieb von Lebensmitteln etc.. Und diese einzelnen Kategorien. Wenn ich in einer
dieser Kategorien über 500.000 bin, dann fällt es weg. Kleines Beispiel was außen
vor ist: Alkohol. Weil es steht drin, dass beispielsweise bei Wasser eben es nur um
Wasser geht und nicht um Alkoholisches. Insofern sind alkoholische Getränke zum
Beispiel komplett ausgeklammert. F: Ja, dann was is, oh, jetzt kommt die
letzte Frage, das ist natürlich doof. Was ist nach deiner Einschätzung nach der
brüchigste Sektor, also der mit der größten Ausfallrisiko?
A: Strom. Weil Strom sozusagen die Basis für alles ist, wenn Strom wegfällt, fällt
kurz danach Telekommunikation weg und danach bricht alles andere zusammen. Wer
das mal genauer eruieren will, kann sich gerne Blackout von Marc Elsberg mal
durchlesen. Das ist schon recht nah an der Realität. Es gibt vom TAB Bundestag, TA
Bundestag eine Blackoutstudie von, 2012 glaube ich war's, die hat auch, ich glaub
250 Seiten oder so, die schreibt ganz genau wissenschaftlich erforscht auf, was
nach 'nem Blackout so wie in welcher Reihenfolge passiert. Wer dann noch nicht
genug hat, kann sich vielleicht noch 42 Grad durchlesen. Das ist auch ein Buch,
was sozusagen das ganze aus Wassersicht beschreibt. Aber Strom ist definitiv die
Basis für alles und das ist am kritischsten. Danach kommt IT und TK, weil
ohne Kommunikation funktioniert auch nicht viel.
Engel: Ja dann wäre ich an der Stelle erstmal nochmal Danke, Danke, Danke für
den Vortrag, für die Antworten. Die drei Fragen, die noch drinstehen, da werden die
Antworten hinterher reingeschrieben, bestimmt von HonkHase, kann dort
vielleicht die Sachen noch mal kommentieren. Ansonsten könnt ihr Feedback
da auch immer reinschreiben. Und an der Stelle würde ich einfach noch so virtuell.
Applaus, Applaus, Applaus sagen. Und ja, dann gehen wir sozusagen glaub ich wieder
zurück ins Main-Programm und ja, dann freue ich mich, dass es hier gleich
weitergeht.
*Outro*
Untertitel erstellt von c3subtitles.de im Jahr 2022. Mach mit und hilf uns!