Wenn die Angst ums Image die kritische Infrastruktur bedroht

Seit der Entdeckung des mittlerweile vierten Lecks an den Nord-Stream-Gaspipelines in der Ostsee und dem damit verbundenen Sabotageverdacht, ist der Herzschlag der europäischen Sicherheitsbehörden zumindest beschleunigt. Auch in Österreich sei der Staatsschutz in erhöhter Aalarmbereitschaft, heißt es aus dem Innenministerium.

Hybride Kriegsführung

Der Begriff "hybride Kriegsführung" ist in der Mitte der Gesellschaft angekommen. "Russland führt einen hybriden Krieg gegen den Westen. Die Beschädigung von wichtiger Infrastruktur ist eine gute Möglichkeit, seine Ziele durchzusetzen, ohne das Militär einzusetzen", sagte auch Militärstratege, Bernhard Gruber im KURIER-Interview.

Die Frage bleibt, wie sicher ist besagte kritische Infrastruktur in Österreich? Nicht zuletzt, nachdem vergangene Woche Gerüchte aufgetaucht waren, dass ein Unfall bei der OMV von Juni ein Sabotageakt gewesen sein könnte. Das Unternehmen dementiert nach wie vor.

Angst vor Reputationsverlust

Oder müsste die Frage vielmehr lauten: Wie schützt man die Lebensadern des Landes im Spannungsfeld zwischen Sicherheitsstrategien der Behörden und der Angst vor Imageschäden durch die betroffenen Unternehmen?

Fest steht: Über 400 Unternehmen, die in zwölf Sektoren eingeteilt werden (von Energie bis hin zu Transport) zählen in Österreich zum Teil der kritischen Infrastruktur. Zum Vergleich: In Deutschland sind es über 500. Fest steht auch: Der Großteil von ihnen ist penibel darauf bedacht, Angriffe nicht publik werden zu lassen. Zu groß scheint die Angst vor Imageschaden, Reputationsverlust, Minderung des Markenwerts und Vertrauensverlust der Kunden oder Aktionäre.

Jährlich Schäden in Milliardenhöhe

Man nehme den Schaden billigend in Kauf, bevor man das Image verliere, fassen es Insider zusammen. Dabei entstehe den kritischen Betrieben laut Zahlen der Wirtschaftskammer jährlich ein Schaden von mehreren Milliarden Euro – alleine durch Spionage. Milliarden, die man opfert, bevor man eine Anzeige bei den Sicherheitsbehörden erstattet, die die Gefahr birgt, dass sensible Informationen über Angriffe an die Öffentlichkeit gelangen. Eher würde man noch private Sicherheitsdienste engagieren, oder versuchen das Problem intern zu lösen, sagen Experten.

Freiwilligkeit

Denn ob ein Unternehmen einen Angriff anzeigt oder nicht, liegt ganz bei ihm. Dazu heißt es im eingangs erwähnten Masterplan des Bundeskanzleramts APCIP (Austrian Programme for Critical Infrastructure Protection): „(…) und den Sicherheitsbehörden auf freiwilliger Basis Vorfälle melden, die das Unternehmen in seiner Leistungsfähigkeit einschränken.“

Diese Freiwilligkeit steht aktuell auf dem Prüfstand. Per EU-Richtlinie sollen Unternehmen künftig dazu verpflichtet werden, Angriffe zu melden. Frühester Zeitpunkt des Inkrafttretens laut Experten: Nicht vor 2024. Viel Zeit in Zeiten der hybriden Kriegsführung.

Teufelskreis

Viel Zeit für einen Teufelskreis, der so aussieht: Kritische Infrastruktur wird angegriffen, die Meldebereitschaft der Betroffenen ist verschwindend gering, die Sicherheitsbehörden werden nicht informiert, erfahren nicht, welche Methoden der Angreifer verwendet und können nicht gegensteuern. Weitere Unternehmen rücken ins Visier der Angreifer, doch erste Anzeichen der Attacke bleiben unbemerkt, weil die Methodik nicht bis zu den Behörden durchgedrungen ist. Das nächste Unternehmen erstattet keine Meldung…

Anzeigen wegen Spionage

Wie oft der Ernstfall in Österreich bisher in Kraft trat, lässt sich bei dieser sensiblen Thematik schwer in Zahlen fassen. Noch am ehesten, wenn man sich Paragraph 256 Strafgesetzbuch ansieht "Geheimer Nachrichtendienst zum Nachteil Österreichs" umgangssprachlich zusammengefasst unter Spionage. Laut Zahlen des Bundeskriminalamts gab es dazu in den vergangenen fünf Jahren jeweils Anzeigen im unteren einstelligen Bereich. 2021 waren es vier Anzeigen. Mit der Vermutung auf eine hohe Dunkelziffer.

Ob dies den Herzschlag nun beruhigt, sei dahingestellt.