Kleinere nicht betroffen

Die Abfahrtzeiten ihres Zuges suchten Bahnreisende am 12. Mai vergebens auf den elektronischen Anzeigetafeln. Stattdessen prangte ein Sicherheitsschloss auf rotem Grund von den Bildschirmen an vielen Bahnhöfen: "Oops your files have been encrypted!", stand darauf zu lesen. Über 230.000 Computer in 150 Ländern infizierte die Schadsoftware WannaCry. Der Trojaner verschlüsselte Dateien, die digitalen Erpresser verlangten Lösegeld. Der Schädling nutzte eine Sicherheitslücke in älteren Windows-Versionen und breitete sich rasant aus. Neben der Deutschen Bahn mit ihrer Logistiktochter Schenker gehörte auch der Logistikkonzern FedEx zu den Opfern der bisher größten Cyber-Attacke weltweit. Der Angriff zeigte: Hacker könnten das öffentliche Leben und die Versorgung der Bevölkerung lahmlegen - überall auf dem Globus. Regeln für Transport und Verkehr Das Schreckensszenario zeigte Wirkung: Auf einmal hatte es die Bundesregierung sehr eilig, das IT-Sicherheitsgesetz in den ausstehenden Wirtschaftsbereichen Finanz- und Versicherungswesen, Gesundheit sowie Transport und Verkehr umzusetzen. Am 31. Mai beschloss das Kabinett die notwendige Änderung des zweiten Teils der Verordnung zur Bestimmung kritischer Infrastrukturen (Kritis-Verordnung). Diese Kritis-Verordnung legt Schwellenwerte fest, anhand derer Betreiber bestimmen können, ob ihre Anlagen und Systeme etwa zur Frachtabfertigung oder zum Betrieb eines Logistikzentrums in den Anwendungsbereich des IT-Sicherheitsgesetzes fallen. Das seit 2015 geltende Gesetz schreibt Betreibern kritischer Infrastrukturen vor, schwere IT-Sicherheitsvorfälle verbindlich zu melden und sich besser vor Cyber-Attacken zu schützen. Die Regeln für die Sektoren Energie, Informationstechnik und Telekommunikation, Wasser sowie Ernährung sind bereits seit 2016 in Kraft.Das federführende Bundesinnenministerium geht davon aus, dass Anlagen und Systeme der Transport- und Verkehrsbranche besonders zu schützen sind, wenn durch ihren Ausfall die Güterversorgung von mindestens 500.000 Menschen nicht mehr gewährleistet werden kann. Eine schwerwiegende Störung oder ein Ausfall bestimmter Logistikdienstleistungen hätte kritische Folgen für andere, abhängige Sektoren und dadurch auch für die Versorgung der Bevölkerung. "Weiterhin können Beeinträchtigungen oder Störungen in Transport-, Lager- und Umschlagprozessen eine Gefährdung der öffentlichen Sicherheit darstellen, insbesondere bei Gefahrguttransporten", heißt es. Die Kriterien, nach denen das Ministerium Anlagen und Systeme als "kritisch" einstufte, sorgten aber für Diskussionen: Branchenvertreter kritisierten, dass die Schwellenwerte des ersten Verordnungsentwurfs zu niedrig angesetzt waren und allein auf die transportierten Gütermengen der einzelnen Verkehrsträger abstellten. "Dadurch wäre Luftfracht per se kritisch im Sinne der Verordnung gewesen, während dieselben Güter im Verlauf einer Lieferkette beim Transport mit dem Lkw ihre Kritikalität verloren hätten", erklärt Frank Huster, Hauptgeschäftsführer des Deutschen Speditions- und Logistikverbandes (DSLV). Schwellenwerte überarbeitet "Der ursprüngliche Entwurf setzte den Schwellenwert für den Straßengüterverkehr entsprechend seinem Anteil am Modal Split nämlich deutlich höher an", erklärt er. "Das war nicht nachvollziehbar." Die zähen Verhandlungen haben sich gelohnt. Das Ministerium überarbeitete die Schwellenwerte und einigte sich mit den Verbänden auf einheitliche Kriterien. "Wir haben die Logistikanlagen in den Mittelpunkt der Betrachtung gerückt, da von hier aus die Bevölkerung - unabhängig von der Wahl des Verkehrsträgers - versorgt wird", so Huster. Galten anfangs noch 408 Anlagen aus diesem sehr allgemein gefassten Wirtschaftszweig Transport und Verkehr als "kritisch", sind es jetzt nur noch 196. Die große Mehrheit fällt also nicht unter das IT-Sicherheitsgesetz. Aussagen, welche Unternehmen vom zweiten Teil der Kritis-Verordnung erfasst sind, wollten weder das Ministerium noch das Bundesamt machen. Diese Informationen seien nicht für die Öffentlichkeit bestimmt, weil Cyber-Kriminelle sie sich zunutze machen könnten. Es ist aber davon auszugehen, dass im engeren Güterverkehrsbereich nur die größten Player betroffen sind. In der geänderten Kritis-Verordnung ist die Rede von vier Anlagen oder Systemen zum Betrieb eines Logistikzentrums oder zur Logistiksteuerung in den Segmenten Massengut-, Ladungs-, Stückgut-, Kontrakt-, See- oder Luftfrachtlogistik. Gegenüber der ersten Fassung sind das 138 Anlagen weniger. Brief-Sortierzentren wurden gestrichen. Nur Betreiber großer Anlagen sind künftig gesetzlich verpflichtet, ihre IT-Sicherheitssysteme innerhalb von zwei Jahren dem neuesten Stand der Technik anzupassen. Mindeststandards (ISO 27001 oder BSI-Grundschutz) helfen bei der Überprüfung und Aufrüstung des IT-Schutzes. "Darüber hinaus arbeiten Branchenvertreter mit dem BSI an Anforderungen für einen Branchenstandard", sagt DSLV-Geschäftsführer Huster. Betroffene Transport- und Logistikunternehmen müssen einen Sicherheitsbeauftragten benennen, der Systeme und Organisationsstrukturen so anpasst, dass Hacker die IT nicht lahmlegen können. Nach Inkrafttreten der Verordnung haben sie sechs Monate Zeit, eine Kontaktstelle einzurichten, die rund um die Uhr für das BSI erreichbar ist. "Erhebliche Sicherheitsvorfälle" wie Störungen ihrer IT-Systeme durch Hacker-Angriffe oder Schadsoftware sind dort sofort zu melden. Meldepflichtig sind beispielsweise "ein unerwartetes Systemverhalten nach dem Einspielen eines Patches", ein Angriff mit Schadprogrammen, "der nennenswert Ressourcen des Unternehmens bindet oder den Ausfall einer kritischen Infrastruktur zur Folge hatte", sowie Dos-Angriffe auf die Systeme der Betreiber. Zum Teil kann die Meldung auch anonym erfolgen. Die Sicherheitsexperten des Bundes wollen sich so einen aktuellen Überblick über die IT-Risiken verschaffen, um gefährdete Unternehmen besser warnen und beraten zu können. Strafen bis zu 100.000 Euro drohen Das Bundesinnenministerium rechnet mit sieben meldepflichtigen Cyber-Attacken pro Betreiber und Jahr. Es veranschlagt hierfür einen Aufwand von 660 Euro pro Meldung. Hinzu kommen für die Wirtschaft die Kosten für die Nachrüstung der IT-Systeme, regelmäßige Sicherheitsupdates, die Dokumentation der Prozesse sowie die vorgeschriebenen Sicherheitsaudits, die alle zwei Jahre stattfinden müssen. Betreiber kritischer Infrastrukturen müssen gegenüber dem BSI nachweisen, dass ihre IT-Sicherheit dem aktuellen Stand der Technik entspricht. Wer hier schludert und die Anforderungen nicht rechtzeitig umsetzt, zahlt. Das Gesetz sieht Bußgelder von bis zu 100.000 Euro vor. Die Verordnung tritt noch in diesem Monat in Kraft. Mehr zum Thema finden Sie im Dossier "Sicherheit" www.verkehrsrundschau.de/dossiers

Kleinere nicht betroffen

Checkliste: Worauf bei betriebsbedingten Kündigungen zu achten ist

Auslastung der Lkw im Verteiler- und Fernverkehr

HASHTAG

#Transportrecht

Urteil: Jede Kabotage-Beförderung zählt separat

Belgien: Wallonie will Gefängnisstrafe bei Überladung

Urteil: Frachtführer haftet für mangelhafte Verladung

MEISTGELESEN

Tempomat zu hoch eingestellt: Bußgeld für Lkw-Fahrer

Quantron von Insolvenzverwalter verkauft

Bildergalerie: Die Gäste der VerkehrsRundschau Gala 2025

WEITERLESEN

NEWSLETTER