Mehr als 50 Behörden wollen Cyberangriff simulieren

Mindestens acht Bundesländer, die Bundeswehr, die Bundespolizei und mehrere Bundesbehörden werden Ende September für den Fall eines grossen Cyberangriffs auf Regierung und Verwaltung üben. Die Vorbereitungen dafür laufen schon auf Hochtouren. «Zahlreiche Ressorts des Bundes und der Länder mit ihren nachgeordneten Behörden bereiten sich aktuell gemeinschaftlich vor», teilte das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) auf Anfrage mit.

Das genaue Szenario für die Übung Lükex 23, die am 27. September beginnt und zwei Tage dauern soll, werde nicht bekannt gemacht, um den Übungseffekt nicht zu gefährden, erklärte ein Sprecher. Obgleich an der Übung über 50 Behörden und mehr als 1000 Menschen teilnehmen werden, dürfte die Bevölkerung davon nichts wahrnehmen. «Die Lükex 23 legt in ihrem Szenario den Schwerpunkt auf das Regierungshandeln, welches durch einen massiven Cyberangriff gestört wird», sagte der Sprecher. Eine unmittelbare Beeinträchtigung der Bevölkerung während der Übung sei nicht vorgesehen. Auch eine Probewarnung soll nicht ausgelöst werden.

Die neunte bundesweite Krisenmanagement-Übung war 2020 aufgrund der Corona-Pandemie erst auf das Jahr 2022 und dann wegen des russischen Angriffskrieges auf die Ukraine auf 2023 verschoben worden. Zur Begründung hiess es, das für Krisenmanagement verantwortliche Personal sei stark mit der Bewältigung der aktuellen Lage beschäftigt, was die Übungsvorbereitung erschweren würde.

Wie das BBK mitteilte, sind an Lükex 23 nach aktuellem Sachstand Brandenburg, Baden-Württemberg, Bayern, Hessen, Nordrhein-Westfalen, Niedersachsen, Sachsen und Thüringen beteiligt und machen den gesamten Übungsablauf mit. Daneben gibt es für die Länder und einzelne Behörden noch die Möglichkeit, reduziert mitzuüben oder als Beobachter teilzunehmen. Auf Bundesebene sind diesmal unter anderem das Innenministerium, das Auswärtige Amt, die Bundesbank, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Nationale Cyber-Abwehrzentrum dabei. Die Bundeswehr nimmt den Angaben zufolge mit ihrem Territorialen Führungskommando und dem Kommando Cyber- und Informationsraum teil.

Die Abkürzung Lükex steht für Länder- und Ressortübergreifende Krisenmanagementübung. Operative Kräfte, also etwa Rettungskräfte oder Feuerwehrleute, sind nicht eingebunden. Auch Verletztendarsteller oder Einsatzfahrzeuge werden nicht benötigt. Die organisatorische Federführung für Lükex 23 liegt beim BBK.

Bei früheren Übungen waren unter anderem die Szenarien Gasmangellage in Süddeutschland (2018) und Grippe-Pandemie (2007) zugrunde gelegt worden. Kritik hatte es zu Beginn der Corona-Pandemie in Deutschland 2020 gegeben, nachdem augenfällig wurde, dass Handlungsempfehlungen, die nach der Pandemie-Übung 2007 erarbeitet worden waren, auf verschiedenen staatlichen Ebenen teilweise nicht umgesetzt worden waren, etwa die Beschaffung von Schutzanzügen.

«Es obliegt jeder Behörde und jeder beteiligten Organisation, die im Rahmen der Lükex festgestellten Handlungsempfehlungen und gewonnenen Erkenntnisse im eigenen Verantwortungsbereich umzusetzen», heisst es aus dem BBK. Das Bundesamt wirke jedoch «auf eine noch bessere Nachhaltigkeit» hin, indem es Netzwerktreffen anbiete, bei denen sich die verschiedenen Akteure über die Erkenntnisse austauschen und voneinander lernen könnten.

Auch als Reaktion auf die Erfahrungen aus der Flutkatastrophe vom Juli 2021 hatten die Innenminister von Bund und Ländern im vergangenen Jahr ein Gemeinsames Kompetenzzentrum Bevölkerungsschutz beim BBK gegründet. An den im Grundgesetz verankerten unterschiedlichen Zuständigkeiten hat sich seither aber nichts geändert. Die Länder tragen weiterhin die Verantwortung für den Katastrophenschutz, der Bund trifft Vorkehrungen für den Schutz der Zivilbevölkerung im Spannungs- und Verteidigungsfall.

Wenn Erkenntnisse nicht umgesetzt würden, bleibe auch die beste Übung lückenhaft, mahnt Leon Eckert, Berichterstatter für Bevölkerungsschutz der Grünen-Bundestagsfraktion. Er fordert: «Handlungsempfehlungen müssen zeitnah in der Praxis zum Tragen kommen und dürfen nicht in Schubladen verschwinden.»