Cyber-Resilienz

Im klassischen Risikomanagement werden Ereignisse entsprechend ihrer Häufigkeit und Konse­quenzen kategorisiert. Ein technisches System wird üblicher­weise so entworfen, dass es häufige und mittelhäufige Ereignisse mit geringer Auswirkung tolerieren kann. Meist ist es nicht wirtschaftlich, seltene Ereignisse mit hohem Schaden während der Designphase zu berücksichtigen. Bild 1 zeigt einige reale Beispiele von Ereignissen in Energie­systemen. So führen z. B. häufig eintretende Überlastungssituationen im indischen System zu schwer­wiegenden ökonomischen Schäden durch Blackouts. Reguläre Ereignisse am Markt resultierten in Engpässen bei der Lieferung von Elektrizität in Kalifornien, da Regulierer der Versorgungs­sicherheit nicht so viel Beachtung geschenkt, sondern sich auf die Profite der Mono­polisten konzentriert hatten. Das sehr seltene Ereignis einer Sonnenfinsternis mit enormem Einfluss auf die PV-Einspeisung konnte in Europa ohne Probleme abgefangen werden. Im Allgemeinen ist die Häufigkeit bestimmter Ereignisse und deren Auswir­kungen auf das System subjektiv und abhängig von der Situation des Versorgungs­systems hinsichtlich geografischer Lage, technologischer Be­schaffenheit und wirtschaftlichem Rahmen. Das bedeutet, dass Entscheidungs­träger, Systemdesigner oder Stakeholder in der Lage sind, die Ereignis-Ausmass-Abbildung zu ändern – je nachdem, wie «resilient» sie ihr regionales, nationales oder sogar interna­tionales Energiesystem gestalten.

Schwarze Schwäne und Resilienz

Ein System wird als resilient bezeichnet, wenn es fähig ist, nach Störungen rasch zum Normal­zustand zurückzukehren, sich zu erholen und dabei den Schaden gering zu halten. Der Resilienz­prozess (Bild 2) umfasst die geeignete Reaktion auf ein Ereignis (Absorbieren der Störung), das Zurückfallen auf kritische Funktionen und Stabilisierung des Systems (Stabilisierung) und zuletzt das kontrollierte Zurück­bringen zum Normal­betrieb des Systems (Wiederherstellung).

Durch die Entwicklung hin zu einem digitalen, komplexen Energie­system mit dessen unvorher­sagbarer und volatiler Natur entsteht ein neuer, riskanter Ausgangs­punkt für sogenannte «Schwarzer-Schwan-Ereignisse». Der Schwarze Schwan in Talebs Theorie bezieht sich auf seltene, schwer vorhersagbare und unerwartete, disruptive Ereignisse mit hohem Schadens­ausmass, die normalerweise als Ausreisser bezeichnet werden.[1]

In Energiesystemen können Schwarzer-Schwan-Ereignisse durch verschiedene Ursachen oder Kombinationen von Ursachen hervorgerufen werden. Beispiele sind natürliche Ereignisse (z. B. Überflutung, Erdbeben, Eisregen und Kombinationen hiervon), physikalische oder Cyber-Angriffe (Terroristen, Hacker) oder schlechtes Marktdesign. Eine Eigenschaft von Schwarzen Schwänen ist, dass sie unbekannt oder schwer vorhersagbar sind. Das ist umso kritischer im modernen durch verteilte Erzeugung dominierten Energiesystem, da die Erfahrung im Betrieb und damit historische Daten zu neuen Technolo­gien limitiert sind.

In Deutschland gibt es bereits umfassende Mass­nahmen zur IT-Sicherheit sowie Gesetze und Regulierungen für verschiedene neue IKT-Entwicklungen (z. B. BSI-Schutzprofile für das Smart Meter Gateway). Trotzdem kann das System nicht gegen alle Ausfälle gesichert werden. Deshalb sollten die Natur und Dynamiken der störenden Ereignisse, die auf die neue Struktur des Systems zielen, genau verstanden werden, insbesondere deren Einfluss auf die Gesamt­performanz des Systems. Die Wahrscheinlichkeit erfolgreicher, politisch motivierter Hacker-Angriffe kann beispielsweise kaum geschätzt werden. Der Schaden sowie die Wahrscheinlichkeit für ein solches Ereignis sind oft nicht abhängig von früheren Ereignissen.

Wie wirken sich diese Entwick­lungen (z. B. vermehrte Cyber-Komponenten) auf den Resilienz-Prozess aus und wie lassen sich Verbesserungen schaffen? Für den Resilienz­prozess (Bild 2) sind besonders das Lagebild, die Zuverlässigkeit bei der Durchführung der Aktionen und die Beurteilung der Auswirkung der Aktionen von Bedeutung. Das Lagebild muss auch eine Einschätzung des Zustandes aller IKT-Systeme enthalten, soweit sie für System­betrieb und -wieder­herstellung eine Rolle spielen. Bisher gingen Resilienz-Prozesse häufig davon aus, dass untere Span­nungs­ebenen keine grosse Bedeutung für die Versorgungs­sicherheit (z. B. System­dienst­leistungen) und den Wiederaufbau haben. Da sich das ändert, benötigen die Netzbetreiber sowohl viel bessere Informationen über die Situation in den Verteilnetzen als auch Berech­nungen, wie sich das Verteilnetz unter ungünstigen Vorausset­zungen beim Wieder­aufbau verhält. So ist etwa heute nicht bekannt, wie sich die PV-Anlagen im Krisenfall verhalten werden. Die Resilienz-Prozesse müssen ausserdem vorher im «Labor» simulativ getestet werden. Mechanismen der Selbst­organisation werden voraussichtlich eine Rolle spielen, die zur Koordination und Kontrolle IKT benötigen. Die IKT muss daher für Resilienz­prozesse im neuen Energie­system eine tragende Rolle übernehmen.

Wie kann Cyber-Resilienz helfen?

Ein System ist dann «cyber-resilient», wenn die IKT-Kompo­nenten und die auf IKT basierenden Prozesse zusammen mit den energie­technischen Komponenten die Resilienz des Gesamt­systems erhöhen. Dazu gehören die Möglich­keiten, ein genaues Lagebild zu erzeugen und die Auswirkungen von Massnahmen besser prognos­tizieren zu können. Ganz besonders leistet die Cyber-Resilienz auch eine Abschätzung, inwieweit sich Risiken durch ein Ereignis ändern, etwa indem nun andere Ereignisse deutlich wahrschein­licher (etwa ein Erdschluss, da Leitungen aufgrund hoher Belastung stärker durchhängen) oder deutlich gefährlicher werden (etwa da aufgrund von IKT-Problemen nicht mehr ausreichend reagiert werden kann). Schwarzer-Schwan-Ereignisse besser zu verstehen, erhöht die Vorhersagbarkeit der Ereignisse und deren Konsequenzen. Es ermöglicht eine ähnliche Reaktion wie vorhersagbare Ereignisse. 

Labor-Infrastruktur

Um das Konzept der Cyber-Resilienz zu simulieren und zu untersuchen, wird im Offis – Institut für Informatik in Oldenburg eine Test­umgebung für Konzepte zur System­integration und -führung unter unsicheren Bedingungen in digitalisierten Energie­versorgungs­systemen aufgebaut. Dieser einmalige Labor­aufbau kombiniert Techniken zur Gefährdungs­erkennung und -analyse von Smart-Grid-Architekturen mit Methoden zur Anomalie-Erkennung in Informations­prozessen auf unterschied­lichen Ebenen (OT/IT) heutiger Energie­versorgungs­systeme. In der hier aufzubauenden Laborumgebung sollen präventive Sicherheitsmassnahmen, die solchen Angriffen vorbeugen, aber auch reaktive Massnahmen zur schnellen Erkennung und Behandlung von IT-Sicherheits­attacken in Strom­versorgungs­systemen entwickelt und getestet werden können.

Fazit

Das neue Energiesystem hat viele Vorteile im Hinblick auf Nach­haltigkeit, Effizienz und Flexibilität. Es so resilient und robust wie das konven­tionelle System zu machen, ist jedoch eine ernst­zunehmende Heraus­forderung, die zu scheitern droht und damit zu einer neuen Bedrohungs­quelle für die Gesellschaft werden kann. Entschei­dungs­träger, Stakeholder und Akteure müssen IKT-Innovationen als ein Mittel zur Sicherung der neuen Struktur des Energiesystems einsetzen, d.h. sich hin zu Cyber-Resilienz bewegen.