Australien startet eine neue Initiative zur Cybersicherheit: Das Cyber Incident Review Board soll künftig unabhängige, no-fault-Analysen nach größeren Cyberattacken durchführen. Das Besondere an diesem Ansatz ist der Fokus auf systemische Lektionen statt auf individuelle oder unternehmensweite Schuldzuweisungen.
Der australische Minister für Inneres und Cybersicherheit, Tony Burke, kündigte sieben Mitglieder für das Gremium an, das zu großen Teilen aus Frauen besteht – ein Novum in einer männerdominierten Branche. Vorsitzende wird Narelle Devine, Global Chief Information Security Officer bei Telstra. Weitere Mitglieder kommen von Boeing Australia, NBN Co, der University of New South Wales, der Anwaltskanzlei Allens, Toll Group und SA Power Networks.
Das australische Modell basiert auf dem US-amerikanischen Cyber Safety Review Board, das die Biden-Regierung 2022 einrichtete. Dieses Board legte drei Berichte vor, bevor es unter der Trump-Administration aufgelöst wurde – während es gerade eine Untersuchung zum Cyberangriff Salt Typhoon durchführte, eine groß angelegte chinesische Spionageoperation gegen Telekommunikationsnetze. Mehrere demokratische Senatoren kritisierten die Auflösung scharf.
Ein bedeutender Unterschied zum US-Vorbild: Australiens Board kann Informationen von unwilligen Unternehmen zwangsweise einfordern, während die US-Variante nur auf freiwillige Kooperation setzte. Diese Befugnis könnte entscheidend für verbesserte Transparenz nach Sicherheitsvorfällen sein.
Das US-Board hatte mit seinem Bericht über Microsofts Sicherheitsmängel – der chinesischen Hackern Zugriff auf E-Mail-Accounts von US-Regierungsbeamten ermöglichte – deutliche Wirkung gezeigt. Microsoft-CEO Satya Nadella reagierte mit einer unternehmensweiten Direktive zur Sicherheit als oberste Priorität. Frühere Berichte zu Log4j und der Lapsus$-Hackergruppe hatten weniger Einfluss.
Australiens Initiative folgt einer Serie prominenter Cyberangriffen der letzten Jahre – unter anderem gegen die Krankenversicherung Medibank und den Telekommunikationskonzern Optus. Die EU hat ein ähnliches Modell unter ihrem Cyber Solidarity Act etabliert und tastet ENISA mit Post-Incident-Reviews von grenzüberschreitenden Angriffen. Allerdings ist diese Funktion bislang noch nicht aktiv genutzt worden.
Für Deutschland könnte die australische Erfahrung wertvoll sein: Ein unabhängiges Review Board könnte dem BSI bei der Verbesserung der Cybersicherheit helfen und gleichzeitig DSGVO-Anforderungen erfüllen.