Dr. Sven Herpig ist Lead Cybersecurity & Emerging Threats und Advisor to the Executive Director bei interface. Im Interview erläutert er die aktuelle Bedrohungslage, bewertet die Debatte um aktive Cyberabwehr und benennt die strukturellen Schwächen der deutschen Cybersicherheitsarchitektur.
Herr Dr. Herpig, wie schätzen Sie die aktuelle Lage in der Cybersicherheit ein?
Die Bedrohungslage nimmt weiter zu – mehr Akteure, mehr und effektivere Cyberoperationen. Aus den USA kam die Ankündigung, dass Behörden und Firmen unter Donald Trump offensiver auftreten wollen; wenn Staaten offensiver agieren, ziehen andere häufig nach. Ein relativ neuer Aspekt sind KI-Agenten: Es gibt erste Versuche, auch durch staatliche Akteure, Teile der „Kill Chain" zu automatisieren. Das geht über optimierte Phishing-Mails hinaus. Eine zentrale Frage ist, ob beim Einsatz solcher Systeme Kontrolle verloren geht.
Lässt sich der Urheber eines Cyberangriffs allein anhand einer IP-Adresse sicher bestimmen?
Nicht notwendigerweise – und das Thema ist größer als nur „IP-Adresse". Bei intrusiven Operationen geht es darum, gegnerische Operationen zu unterbrechen, Schaden abzumildern oder Attribution zu unterstützen. Technisch haben wir Fortschritte gemacht, aber Zwischenebenen wie Botnetze, kompromittierte Heimrouter oder Tor-Strukturen machen das aufwendig und rechtlich heikel.
Die Kernfrage lautet für mich weniger „Sollten wir das grundsätzlich machen?", sondern: „Wie effektiv ist das wirklich?" Wenn Unternehmen nicht patchen, nicht wissen, welche Systeme sie einsetzen, keine Backups und keine Krisenkommunikation haben, bringt es wenig, wenn Behörden ein paar Mal im Jahr im Ausland Angreifer-Infrastruktur stören. Punktuelle aktive Cyberabwehr kann funktionieren, aber sie wird nicht die Wende bringen.
Wie gut ist Deutschland organisatorisch aufgestellt, um Cybersicherheit als Gesamtsystem zu steuern?
Positiv ist das gewachsene Ökosystem: BSI, BKA, BfV, Bundeswehr auf Bundesebene, dazu Landesstrukturen. Das Problem ist, dass die Organisationen weitgehend unabhängig voneinander und wenig koordiniert arbeiten. Zentrale Strukturen wie das Nationale Cyber-Abwehrzentrum und der Nationale Cyber-Sicherheitsrat sollten das auffangen – beide sind aus meiner Sicht nicht wirklich funktional, den Cyber-Sicherheitsrat würde ich sogar als dysfunktional beschreiben.
Hinzu kommt Behördenkonkurrenz: Jeder will im eigenen Ressort gut aussehen, um Ressourcen und Stellen zu bekommen. Aus Behördensicht ist das nachvollziehbar, gesamtstaatlich ist es desaströs.
Wie könnte eine Lösung aussehen?
Zwei Wege: mehr Befugnisse aufs BSI übertragen (Zentralisierung) – oder die zentralen Akteure strukturell so reformieren, dass sie ihre Aufgabe wirklich erfüllen und stärker in die Länder hineinwirken. Im Kern: horizontal die Bundesbehörden strategisch und operativ besser verbinden, vertikal in die Länder hinein. Dafür braucht es politischen Willen – und Konsequenzen, wenn Behörden aneinander vorbei arbeiten.
Welche Maßnahmen sollten Mittelständler unbedingt umsetzen?
Die Liste ist kurz: Erstens wissen, was überhaupt im Einsatz ist. Zweitens Patch-Status kennen und Patch-Management etablieren. Drittens eine Risikoanalyse: Worauf kann ich wie lange verzichten, was sind die „Kronjuwelen"? Diese gezielt härten. Viertens und fünftens: Backups – machen, getrennt vom Live-System halten, einspielen können – und Krisenplanung.
Wie bewerten Sie das NIS-2-Umsetzungsgesetz?
Ehrlich: Ein Großteil der Bundesregierung hat noch gar nicht damit angefangen, an Cybersicherheit zu arbeiten. Wir haben NIS-2 in nationales Recht umgesetzt, aber im Kern denselben Entwurf wie vor über zwei Jahren – die Minimalversion. Positiv ist, dass Innenminister Alexander Dobrindt das Thema früh weit oben auf die Agenda gesetzt hat – Stichwort „Cyberdome". Wenn der Minister sagt, dass er daran gemessen werden will, müssen die Behörden jetzt liefern.
