Die neue CISA-Initiative markiert einen Paradigmenwechsel in der Infraschutznstrategie: Statt auf vollständige Aussperrung von Angreifern zu setzen, bereitet man sich nun auf den Fall vor, dass Kompromittierung nicht vollständig verhindert werden kann.
CI Fortify konzentriert sich auf vier Kernaspekte: Erstens die Isolation von Operationstechnik-Systemen (OT) von anderen Netzwerkteilen, zweitens die Fähigkeit zum schnellen Offline-Betrieb, drittens die Wiederherstellung kompromittierter Systeme während der Isolation und viertens detaillierte Notfallpläne. CISA wird gezielt Sicherheitsbewertungen in kritischen Infrastrukturen durchführen, wobei die Herangehensweise je nach Organisation und Branche variiert.
Der Hintergrund dieser Initiative ist besorgniserregend: Die chinesische Hackergruppe Volt Typhoon hat seit mindestens 2019 Zugang zu US-amerikanischen Infrastrukturen und positioniert sich für potenziell destruktive Angriffe im Falle eines militärischen Konflikts. Trotz mehrjähriger Bemühungen zur „Eviction” – also zum Hinauswurf der Angreifer – bleiben chinesische Hacker tief in kritischen Systemen verankert. Cybersicherheitsexperte Matthew Hartman sieht dies realistisch: “Eviction bleibt das Ziel, kann aber nicht die einzige Strategie sein. Segmentierung und Resilienz sind ein pragmatischer Ansatz, der Kompromittierung voraussetzt und den Schadensumfang begrenzt.”
Auch russische Cyberattacken auf operationstechnische Netzwerke – etwa in Polen – unterstreichen die Notwendigkeit. Hinzu kommt ein neuer Faktor: Künstliche Intelligenz. CISA warnt, dass KI-Modelle Angreifern eine höhere Geschwindigkeit und Skalierbarkeit bei Cyberoperationen ermöglicht. Ein Vorfall in Monterrey zeigt dies praktisch: Ein Hacker nutzte ein KI-Modell, um ein städtisches Wasser- und Abwassersystem zu kompromittieren.
Für deutsche Kritische Infrastrukturen gelten ähnliche Anforderungen. Das BSI empfiehlt segmentierte Architekturen und Offline-Funktionsfähigkeit bereits in seinen Standards für KRITIS-Betreiber. Die NIS2-Richtlinie verschärft diese Anforderungen zusätzlich. Unternehmen, die kritische Dienste betreiben, sollten ihre Notfallpläne überprüfen und stellen sichern, dass essentielle Funktionen auch ohne externe Konnektivität aufrechterhalten werden können – eine Empfehlung, die über reine Compliance hinausgeht und zur echten Operationalen Sicherheit beiträgt.