Krisenübung "Lükex" Wenn Hacker die Regierung angreifen
Achtung, das ist eine Übung: Behörden und Unternehmen in ganz Deutschland proben, was bei einem Cyberangriff auf die Regierung zu tun wäre. Worum geht es? Ein Überblick.
Krisenstäbe und Behördenleiter in Bund und Ländern üben seit dem Morgen, was bei einem massiven Cyberangriff auf Regierung und Verwaltung zu tun wäre. Die zweitägige heiße Phase der Übung "Lükex 23" begann um 9 Uhr beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), wie eine Sprecherin bestätigte. Lükex ist die Abkürzung für "länder- und ressortübergreifende Krisenmanagementübung".
"Von der Zahl der beteiligten Akteure her ist dies die größte Lükex-Übung, die es je gab", sagte BBK-Präsident Ralph Tiesler der Nachrichtenagentur dpa "Zum ersten Mal in der fast zwanzigjährigen Geschichte wirken alle Bundesländer mit."
Wer macht mit?
An der Übung nehmen etwa 60 Behörden, Unternehmen und insgesamt etwa 3.000 Menschen teil. Auch die Bundeswehr übt mit.
Für den Katastrophenschutz tragen in Deutschland die Länder die Verantwortung. Um den Zivilschutz - also den Schutz der Bevölkerung im Kriegsfall - muss sich der Bund kümmern. Es gebe laufend Zivilschutzübungen, sagte BBK-Präsident Tiesler. Als ein Beispiel nannte er den bundesweiten Warntag, an dem einmal im Jahr die Alarmierung der Bevölkerung geprobt wird.
Wie sieht die Übung aus?
Das genaue Szenario für die Übung wurde bis zuletzt geheim gehalten, um den Übungseffekt nicht zu gefährden. Auch Tiesler, der sich als Mitglied des Krisenstabs ins Lagezentrum des Bundesinnenministeriums begab, war daher vorab nicht in alle Details eingeweiht.
Laut BBK wurde eine Nachricht per E-Mail an alle Teilnehmer versendet. Damit wurden ihnen die zentralen Übungsinhalte und die Ausgangslage für den ersten Übungstag vorgestellt. Um es möglichst echt wirken zu lassen, wurde eine fiktive Nachrichtensendung erstellt, die sich die Übenden anschauen sollen.
"Auslöser der fiktiven Krise ist ein massiver Cyberangriff, dessen Auswirkungen sich im Übungsverlauf verschärfen und durch eine Medienkampagne einer Angreifergruppierung begleitet werden", sagte BBK-Chef Tiesler.
Wie realistisch ist ein solcher Hackerangriff?
Experten sehen große Hackerangriffe, sowohl durch kriminelle Akteure als auch durch ausländische Geheimdienste, als reale Bedrohung. Im kleineren Maßstab hat es solche Cyberattacken bereits gegeben. Ein Beispiel, das auch in der Akademie des BBK zu Fortbildungszwecken schon vielfach diskutiert wurde, ist die Attacke auf die Landkreisverwaltung von Anhalt-Bitterfeld, wo nach einem Hackerangriff im Juli 2021 wichtige Bürger-Dienstleistungen 207 Tage lang nicht funktionierten.
Was könnte bei einer Cyberattacke betroffen sein?
Das geht schon beim Zugang zu Gebäuden los, für die Kartensysteme genutzt werden. Ein größeres Problem für viele Menschen wäre beispielsweise auch eine Störung, die eine Auszahlung von Bürgergeld an die Berechtigten behindern würde. Damit alle Eventualitäten mitgedacht werden, soll die Übung laut BBK-Chef Tiesler möglichst realitätsnah ablaufen.
Ein Komplettausfall der IT, bei dem auch keine E-Mails mehr verschickt werden könnten, ist laut BBK aber nicht Teil des Szenarios, ebenso wenig ein Ausfall des Handynetzes. Die Möglichkeit, dass das Netz ausfallen könnte, werde aber "immer mitgedacht", sagte Tiesler. Vor allem seit der Flutkatastrophe im Ahrtal, als teilweise die Kommunikation ausgefallen war. "Deswegen haben wir alternative Kommunikationsmittel beschafft, wie zum Beispiel Satellitentelefone, und haben die digitale Kommunikation noch mal überprüft", sagte der BBK-Chef.
Wann kommt die nächste Übung?
Die nächste Lükex-Übung soll voraussichtlich 2026 stattfinden. Welches Szenario dann gewählt wird, berät die Innenministerkonferenz von Bund und Ländern im Dezember. "Man kann für die Zukunft nicht ausschließen, dass auch einmal ein Zivilschutzszenario gewählt wird, etwa das eines Angriffskrieges", sagte Tiesler.
Bei früheren Lükex-Übungen war beispielsweise das Szenario einer Pandemie durchgespielt worden. Im November 2018 lautete das Szenario "Gasmangellage in Süddeutschland".
Dass es in den vergangenen Jahren keine Übungen gab, liegt daran, dass die für 2020 geplante Lükex erst wegen der Corona-Pandemie und dann wegen des russischen Angriffskrieges gegen die Ukraine verschoben worden war. Doch hier hat ein Umdenken stattgefunden, sagte Tiesler. Inzwischen bestehe ausdrücklich der Wunsch, künftig auch dann zu üben, wenn es gerade eine aktuelle Krise geben sollte.