(BS) Cyber-Angriff auf das Regierungshandeln: Das ist das Szenario der diesjährigen Länder- und Ressortübergreifenden Krisenmanagementübung (LÜKEX 2023). Zwei Tage lang – vom 27. bis zum 28. September – übt der Staat, wie er sich im Ernstfall verhalten sollte. Zum ersten Mal in der Geschichte der LÜKEX sind alle Bundesländer beteiligt. Elf von ihnen üben aktiv. Bremen, Hamburg, das Saarland, Schleswig-Holstein und Rheinland-Pfalz hingegen nehmen lediglich als Beobachter teil. So lernen sie aber die Verantwortlichen und die Krisenabläufe kennen.
Neben den aktiven Bundesländern sind auch diverse Bundesministerien, Bundesoberbehörden und Unternehmen der Kritischen Infrastruktur (KRITIS) mit von der Partie. Von Seiten der Ministerien üben das Innenministerium (BMI), das Auswärtige Amt (AA) und das Bundesministerium für Umwelt, Naturschutz, Nukleare Sicherheit und Verbraucherschutz (BMUV) und das Bundesministerium für Digitales und Verkehr (BMDV) den Ernstfall.
Unter den nachgeordneten Bundesbehörden sind das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Kompetenzzentren mit dabei. Die Bundespolizei, die Bundeswehr, das ITZBund, das Bundesamt für Strahlenschutz und das Bundesverwaltungsamt: Viele der wichtigsten KRITIS-Bereiche sind vertreten.
Was für den Krisenstab
„Cyber-Angriffe auf staatliche Organisationen und Infrastruktur können in einer digitalisierten Gesellschaft ernsthafte Auswirkungen auf die Arbeit von Regierungen und Verwaltungen haben“, erklärt Hessens Innenminister Peter Beuth (CDU). Die Zahl solcher Angriffe steige seit Jahren. „Auf den Ernstfall sollten alle staatlichen Ebenen und für das Gemeinwesen wichtige Organisationen vorbereitet sein und dies auch regelmäßig üben“, findet der Sicherheitspolitiker. Dies sei der Sinn der diesjährigen LÜKEX. „Bund, Länder und Unternehmen der Kritischen Infrastruktur proben gemeinsam den Ernstfall, um in einem echten Notfall effektiv zusammenzuarbeiten“, sagt der Minister. Aus den gemeinsamen Erfahrungen wolle man lernen, Fehler identifizieren und besser werden. Effektive und transparente Krisenkommunikation werde bei der Übung ein Schwerpunkt sein.
Hessen legt die LÜKEX dabei als Krisenstabsübung aus. In diesem Stab kommen im Krisenfall die Landesregierung, alle politischen Entscheidungstragenden, Brand- und Katastrophenschutz, Polizei, Staatskanzlei, alle Ressorts und die Cyber-Sicherheitsexpertinnen und -experten des Landes zusammen. Dieses Mal sind aufgrund des Szenarios die IT-Leute stärker vertreten als der klassische Bevölkerungsschutz. Aus dem hessischen Innenministerium heißt es, die LÜKEX 23 sei „eine der größten strategischen Krisenmanagementübungen, die die Landesverwaltung jemals durchgeführt hat“.
Das liegt auch daran, dass der Ernstfall landes- und ressortübergreifend geprobt wird. So arbeitet Hessen in bestimmten Feldern besonders eng mit an der LÜKEX beteiligten KRITIS-Unternehmen zusammen, z. B. mit der Bundesbank und der Deutschen Telekom. Mit Frankfurt am Main beherbergt Hessen das Zentrum des deutschen Finanzsektors. Dieser ist für Cyber-Angriffe besonders anfällig, da äußerst digitalisiert. In der Stadt am Main liegt auch der Firmensitz, der ebenfalls mitübenden, Deutschen Bank.
Auch das Industrie- und Forschungsland Baden-Württemberg nimmt an der LÜKEX teil. Das „Ländle“ sei gut aufgestellt, betont der für die Sicherheit zuständige Innenminister Thomas Strobl (CDU). So hat sein Ministerium vor zwei Jahren die Cybersicherheitsagentur Baden-Württemberg gegründet, die die IT-Sicherheitsbehörde des Landes ist. „Freilich wollen wir immer noch besser werden – und das geht nicht ohne Üben“, gibt Strobl zu. „Es ist mir wichtig, dass wir in Baden-Württemberg auf Krisen bestmöglich vorbereitet sind. Und dazu gehört, dass wir mit dem Bund und den anderen Ländern die richtigen Vorkehrungen treffen – schließlich geht es um die Sicherheit der Menschen in unserem Land.“
Die LÜKEX habe in Baden-Württemberg Tradition. Als sie im Jahr 2004 zum ersten Mal stattfand, war Baden-Württemberg schon mit dabei. Normalerweise hat die LÜKEX eher ein klassisches Katastrophenschutz-Szenario. Bei der letzten Übung im Jahr 2018 erprobten die Akteure eine Gasmangellage. Doch in diesem Jahr haben das Bundesamt für Bevölkerungs- und Katastrophenschutz (BBK) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam ein Cyber-Szenario entwickelt. Sie sind damit auf der Höhe der Zeit. Nach dem russischen Angriff auf die Ukraine und Spill Over-Effekten in Deutschland, nimmt die Sorge vor großangelegten Cyber-Angriffen zu. Dennoch kommt die LÜKEX 2023 später als üblich. Wegen der Corona-Pandemie wurde sie zweimal verschoben.
„Ganz entscheidend dafür, dass wir eine Krise erfolgreich bewältigen, ist, dass alle Räder ineinandergreifen“, sagt Baden-Württembergs Innenminister Strobl. Übung sei „ein wesentlicher Faktor, um die Strukturen des Krisenmanagements unseres Landes stetig weiter zu optimieren und die Zusammenarbeit mit dem Bund und anderen Ländern weiter zu verbessern“.
Deswegen ist für eine gelungene Übung aber auch die Nachbereitung genauso wichtig wie die Vorbereitung. Die Durchführung findet zwar hinter geschlossenen Türen statt, aber alles wird protokolliert und ausgewertet.
