KURZ GESAGT!
_Vernetzung bietet potenzielle Angriffsfläche für Cyberkriminelle
_Geräte nur mit dem Internet verbinden, wenn es unbedingt nötig ist
_Umgang mit Cybersicherheit systematisieren und Notfallpläne entwickeln
Bei Cybersicherheit denken Sie an Back-ups, sichere Passwörter und regelmäßige Software-Updates? Und sagen vielleicht: „Machen wir bei uns in der Kita doch alles! Und wir sensibilisieren die pädagogischen Fachkräfte dafür, vorsichtig zu sein beim Öffnen von E-Mails.“ Sehr gut! Doch Cybersicherheit geht über die Arbeit am Computer hinaus. Denn Hackerangriffe zielen nicht nur auf die Erbeutung sensibler Daten ab. Sie können auch ganz direkt den Arbeitsschutz betreffen.
Vernetzung erhöht Komfort, Effizienz – und das Risiko
Die Zahl der vernetzten Geräte steigt auch in Kitas. Smarte Türen öffnen und schließen sich auf Knopfdruck oder sogar wie von Geisterhand, wenn sich zugangsberechtigte Personen nähern. Heizungs- und Klimaanlagen registrieren über Sensoren, ob sie sich einschalten müssen, und sorgen automatisch für eine angenehme Raumtemperatur. Gesteuert wird das alles über Funk- oder drahtlose Internetverbindungen.
Das erhöht zwar Komfort und Effizienz, birgt bei Fehlfunktionen aber auch Risiken. „Jedes Gerät, das mit dem Internet verbunden ist, bietet eine mögliche Angriffsfläche“, erklärt IT-Experte Jonas Stein: „Wenn Geräte dann gehackt werden, können sie ausfallen oder im schlimmsten Fall sogar zur Gefahr werden.“
Stein leitet beim Institut für Arbeitsschutz der DGUV (IFA) das Sachgebiet für Industrial Security. Dort untersucht er mit seinem Team Schwachstellen in Produkten, die bei einem Angriff Menschen gefährden könnten. Ein Beispiel: Aus dem Wasserhahn darf zum Schutz der Kinder maximal 43 Grad Celsius warmes Wasser kommen. Das lässt sich bei einigen modernen Warmwasseranlagen mithilfe von Apps einstellen, die sich über ein Smartphone steuern lassen. „Eine manipulierte Steuerung kann dazu führen, dass das Wasser über die zulässige Temperatur hinaus erhitzt wird“, sagt Jonas Stein. Plötzlich besteht die Gefahr, dass sich die Kinder verbrühen. Einfache Lösung: Das Anbringen eines mechanischen Ventils mit Verbrühschutz. Selbst bei einer Fehlfunktion der App wird das Wasser damit nicht mehr zu heiß – allerdings ist eine Vernetzung des Geräts dann auch gar nicht mehr nötig.
Funksteckdosen sind aus der Entfernung angreifbar
Ein ähnlich gelagerter Fall sind Steckdosen, die sich über eine Fernbedienung ein- und ausschalten lassen. „Diese Steckdosen sind leicht angreifbar. Manche kann man noch aus einer Entfernung von 100 Metern mit einer kopierten Fernbedienung steuern“, weiß Jonas Stein. Im harmlosen Fall sei daran nur eine LED-Lichterkette angeschlossen. „Wenn aber die Kaffeemaschine eingesteckt ist und das ganze Wochenende durchgehend läuft, wird es kritisch.“
Der Sachgebietsleiter Industrial Security empfiehlt Kitaleitungen, eine Liste zu erstellen mit Geräten, die über Funkfernbedienungen, Internet oder Sensoren gesteuert werden. „Zu dieser Liste überlege ich mir dann für jedes einzelne Gerät: Muss ich es wirklich mit dem Internet verbinden? Denn der einfachste Schutz besteht darin, es gar nicht erst zu vernetzen.“
Notfallpläne für wichtige Systeme
Was tun, wenn wichtige vernetzte Systeme ausfallen? Recht simpel ist das, falls die Anlage für Internettelefonie (Voice over IP) ausfällt: Die Kitaleitung sollte ein Notfallhandy parat haben und die wichtigsten Rufnummern bereithalten. Aber wenn die smarte Schrankenanlage oder die intelligenten Türen nicht mehr reagieren? Dann muss es einen Plan B geben, um sie manuell bedienen zu können. Denn Fluchtwege müssen immer frei und Notausgänge immer zu öffnen sein.
Immerhin: Durch europäisches Recht sind Kitas gut geschützt, Hersteller haften für Sicherheitslücken. „Hacker zerstören keine Barrieren und verschaffen sich dadurch Zugang. Es ist nicht so, dass sie im übertragenen Sinne nur lange genug auf eine stabile Mauer einhämmern müssten“, räumt Stein mit einem Missverständnis auf. „Hacker können nur dann eindringen, wenn es bereits eine Schwachstelle gab, wenn die Mauer also schon ein Loch hatte und durchlässig war.“ Deshalb sind die Hersteller verpflichtet, diese Schwachstellen zu beseitigen und dadurch die Fehler in ihren Produkten beispielsweise mit Updates zu beheben.
Aber darauf sollten es die Kitas nicht ankommen lassen. Besser ist es, vorsichtig mit der Vernetzung umzugehen und nur Geräte mit dem Internet zu verbinden, bei denen es wirklich notwendig ist.
Notfallkontakt hinterlegen
Tauchen sensible Daten im Internet auf oder streamt die gekaperte Überwachungskamera Livebilder aus dem laufenden Betrieb, müssen Kitas schnell reagieren. Für solche Cybersicherheitsnotfälle sollte die Zuständigkeit klar geregelt sein. Sinnvoll ist es, auf der eigenen Internetseite einen Notfallkontakt für die IT-Sicherheit nach einem internationalen Standard (RFC 9116) zu hinterlegen. Das klingt komplizierter, als es ist. Die Erstellung dauert für die IT-Abteilung oder IT-Dienstleister nur ein paar Minuten. Wie es geht, zeigt ein kurzes Erklärvideo auf der Seite des IFA:
www.dguv.de/securitytxt_DE
