E

ine "mafiose, international operierende Gruppe" erpresst Deutschland. Um ihre Forderungen durchzusetzen, hackt sie sich in die Rechner eines Berliner Stromversorgers ein. Der Strom fällt aus, die Stadt ist wie gelähmt. Um den Krisenstab zu behindern, blockieren die Cyberterroristen durch automatische Wiederwahl wichtige Teile des Telefonnetzes. Schließlich zwingen sie das Rechenzentrum einer Großbank und die Rechner der Flugsicherung in die Knie. Sie haben ihr Ziel erreicht: den "vorübergehenden Zusammenbruch des wirtschaftlichen und öffentlichen Lebens".

Wie realistisch ist dieses Horrorszenario? Um das zu prüfen, treffen sich Vertreter von über 40 Institutionen erstmalig vom 12. bis 14. November im Zentrum für Europäische Strategieforschung (ZES) in Ottobrunn bei München. Drei Tage lang werden Mitarbeiter von Polizei, Flughäfen, Stromversorgern und Ministerien das Planspiel im dortigen Rechnernetz als "Livesimulation" durchexerzieren. Eingeladen hat der Arbeitskreis Schutz von Infrastrukturen.

Die verschiedenen Spielteilnehmer werden in benachbarten Räumen sitzen und versuchen, sich gegen ein halbes Dutzend Hackerangriffe, Netzausfälle und Sabotageakte zur Wehr zu setzen. Eine "Leitungsgruppe" beobachtet Teilnehmer und Technik. Danach ist einen halben Tag lang Manöverkritik. Die Kosten: über 700 000 Mark.

"Vielen Verantwortlichen wird plötzlich bewusst, wie abhängig sie voneinander sind", sagt Uwe Nerlich, Direktor des ZES und Koordinator des Spiels. "Wenn die Telekommunikation ausfällt, betrifft das eben auch die Flugsicherung und so weiter. Wir befürchten da einen Dominoeffekt."

Ein Gespenst geht um in Europa und anderswo: die Angst vor der Fortsetzung des Terrorismus mit elektronischen Mitteln. "Im Hard- und Softwarebereich werden umfangreiche Maßnahmen nötig sein", so warnt zum Beispiel Bayerns Ministerpräsident Edmund Stoiber (CSU), "um uns vor den Gefahren eines internationalen Cyberterrorismus zu schützen."

Die Zahl der gemeldeten Sicherheitsvorfälle im Computerbereich habe sich seit 1998 jedes Jahr verdoppelt, mahnt auch Willi Berchtold, Vizepräsident des Branchenverbands Bitkom: "Kritische Infrastrukturen werden computergestützt gesteuert und sind entsprechend angreifbar durch Cyberattacken."

Der Cybergau, der nächste Woche mit dem Computerplanspiel in Ottobrunn geprobt werden soll, geht auf eine Studie der von der Bundesregierung gebildeten Arbeitsgruppe Informationstechnische Bedrohungen für Kritische Infrastrukturen (Kritis) zurück. Schon 1999 war Kritis zum Ergebnis gekommen, dass "in Deutschland von einem signifikanten Bedrohungspotenzial ausgegangen werden muss".

Anfang dieses Jahres kam auch das niederländische Forschungsinstitut TNO zum Fazit, dass "eine einzige Bombe" das niederländische Internet lahm legen könne, weil der zentrale Übergabeknoten in Amsterdam unzureichend gesichert sei: "Die Sicherheit und Verlässlichkeit der Infrastruktur des niederländischen Internet", so die Studie, "ist in vielerlei Hinsicht schockierend schlecht." In Deutschland sehe es ähnlich aus, warnt Thilo Zieschang, ein Sicherheitsberater, der an der Kritis-Studie beteiligt war. Obwohl islamistische Terrorgruppen wahrscheinlich nicht über das notwendige Wissen verfügen, genüge "eine Bombe auf den Internet-Knotenpunkt Decix in Frankfurt, und im deutschen Teil des Internet läuft nichts mehr". Um das Internet insgesamt lahm zu legen, genügten weltweit "fünf bis zehn gut platzierte Bomben" an neuralgischen Punkten wie etwa dem "Root Server A" in Herndon bei Washington, einer Art zentralem Telefonbuch des Internet.

Nicht einmal eine herkömmliche Bombe sei dabei notwendig. Elektromagnetische Kanonen können Pulse aussenden, wie man sie von Atombomben kennt. Sie überlasten damit alle Schaltkreise der näheren Umgebung, von Alarmanlagen bis zu Zündungen von Autos. Baupläne gibt es im Internet. "Eine große elektromagnetische Bombe in einem Lieferwagen dringt ohne eine Explosion auch durch dicke Wände", so Zieschang. "So könnte man fast unbemerkt das Rechenzentrum einer Bank zerschießen."

Möglicherweise sei es gerade ihre Eigenlogik, die die global vernetzte Wirtschaft verletzlich mache, vermutet Uwe Nerlich vom ZES: "Bei überhasteten Firmenfusionen tun sich oft Sicherheitslöcher auf." Entlassungen und das Outsourcen der Rechnerbetreuung schaffen weitere Sicherheitslücken. Die japanische Polizei hatte zum Beispiel eine Verwaltungssoftware von einer Firma programmieren lassen, hinter der Mitglieder der mörderischen Aum-Sekte standen, die 1995 bei einem Giftgasangriff auf die Tokioter U-Bahn zwölf Menschen tötete. Der Killerkult hatte mit seinen Softwarepaketen mindestens 80 Firmen beliefert.

Um sich vor Cyberterroristen zu schützen, planen die USA ein nach außen hin abgeschottetes Regierungsnetz namens Govnet. Aber die größte Schwachstelle sind nicht die Computernetze selbst, sondern die Menschen, die sie bedienen. Nicht Finsterlinge in der Ferne, die sich von Schurkenstaaten aus in Rechnernetze einloggen, sind das Problem. Weitaus gefährlicher sind Innentäter vor Ort. Von ihnen geht 80 Prozent der Computerkriminalität aus.

Seit Jahren schon wird vor Cyberterroristen gewarnt. Doch seltsamerweise wirken die entworfenen Bedrohungsszenarien um so hysterischer, je älter sie sind. Cyberterroristen würden das Chaos des Jahrtausendfehlers nutzen und die Infrastruktur lahm legen, warnten vor zwei Jahren Politiker und Sicherheitsexperten ­ nichts passierte. "Der Cyberkrieg kommt", verkündeten Mitarbeiter der Rand Corporation 1993 ­ die Cyberfront blieb ruhig. Ein "elektronisches Pearl Harbor" stehe direkt bevor, warnte gar Sicherheitsexperte Winn Schwartau ­ zehn Jahre ist das her.

Bisher blieb der Blitzangriff aus dem Netz hartnäckig aus. Stattdessen tobt ein Expertenstreit um die Seriosität der Bedrohungsszenarien. "Gefährdungslagen für kritische Infrastruktur gab es schon immer", sagt zum Beispiel Michael Dickopf vom Bundesamt für Sicherheit in der Informationstechnik. "Die Welt wurde doch seit Bin Laden nicht neu erfunden."

"Für Sicherheitsberater gehört die Panikmache zum Geschäft", kritisiert auch Klaus Brunnstein, Gründer des Virus Test Centers an der Uni Hamburg, "Rechnersysteme sind immer unsicher, auch ohne Terroristen." Daher sei die Simulation des Ernstfalls auch sinnvoll. "Aber den Cyberterrorismus herbeizureden", so Brunnstein, "lenkt von alltäglichen Risiken ab."