Den Bundesstaaten und Kommunen fehlten lange Zeit die finanziellen Mittel und in manchen Fällen auch der Wille, ihre Cyberabwehr zu stärken; doch nun ist dringend benötigte Hilfe in Sicht, dank der 1 Milliarde US-Dollar, die im parteiübergreifenden Infrastrukturgesetz „ “ für die Cybersicherheit auf Bundesstaats- und Kommunalebene vorgesehen sind und das Präsident Biden im November unterzeichnet hat.
Diese Mittel stellen zwar nur einen kleinen Bruchteil der Gesamtkosten des Gesetzes in Höhe von 1,2 Billionen US-Dollar dar – das zudem 65 Milliarden US-Dollar für die Verbesserung der Breitbandinfrastruktur und weitere 65 Milliarden US-Dollar für die Modernisierung des US-Stromnetzes vorsieht– sind jedoch dennoch von erheblicher Bedeutung, da sie die bislang größte Investition des Bundes in die Cybersicherheit auf staatlicher und kommunaler Ebene darstellen, die nach Ansicht von Befürwortern sowohl dringend notwendig als auch längst überfällig ist.
„Derzeit verfügen nur 15 Bundesstaaten über ein eigenes Budget für Cybersicherheit“, sagt Matt Pincus, Leiter der Abteilung für Regierungsangelegenheiten bei der National Association of State Chief Information Officers (NASCIO). „Diejenigen, die dies tun, planen lediglich zwischen 1 % und 3 % ihrer gesamten IT-Ausgaben für Cybersicherheit ein, verglichen mit 10 % bis 20 % im privaten Sektor.“
Das Geld kann gar nicht schnell genug kommen. In den letzten Jahren standen die Leiter der Informationssicherheit in US-Bundesstaaten, Landkreisen, Städten und kommunalen Behörden unter starkem Druck. Unzählige Behörden wurden durch Ransomware-Angriffe lahmgelegt, die in 30 Bundesstaaten im Jahr 2020 – dem letzten Jahr, für das vollständige Daten vorliegen – geschätzte Kosten in Höhe von 18,8 Milliarden US-Dollar für Wiederherstellung und Ausfallzeiten verursacht haben . Laut einem Bericht der Verbraucherschutz-Website Comparitech waren 71 Millionen Bürger von den Angriffen betroffen.
Allein in den ersten fünf Monaten des Jahres 2021 richteten sich mindestens 75 Ransomware-Angriffe gegen staatliche, kommunale und Stammesbehörden. Hacker versuchten unter anderem, in die Wasserverbände der San Francisco Bay Area ,, , in Südkalifornien und sowie in Zentralflorida einzudringen. Wäre es ihnen gelungen, schwache Fernzugriffssysteme zu überwinden, hätten sie die örtliche Wasserversorgung vergiften können.
Der Kampf gegen einen perfekten Sturm
Die neu bereitgestellten Mittel für den Bereich Cybersicherheit werden keine einmalige Finanzspritze darstellen. Die Mittel werden über vier Jahre verteilt, wobei sie von 200 Millionen Dollar im Jahr 2022 auf einen Höchststand von 400 Millionen Dollar im Jahr 2023 ansteigen, bevor sie ab dem Jahr 2025 allmählich zurückgehen.
„“Der Kongress erkennt an, dass die Mittel den am stärksten gefährdeten Menschen zugutekommen müssen.“Matt Pincus, Leiter für Regierungsangelegenheiten, National Association of State Chief Information Officers (NASCIO)
Insbesondere schreibt das Gesetz vor, dass 80 % der Mittel an die Landes- und Kommunalverwaltungen fließen müssen, die häufig über die am wenigsten robuste Sicherheitsinfrastruktur verfügen. „Mit dieser Bestimmung erkennt der Kongress an, dass die Mittel den am stärksten gefährdeten Menschen zugutekommen müssen“, sagt Pincus. Landes- und Kommunalverwaltungen stehen vor denselben Herausforderungen, mit denen auch die Cybersecurity and Infrastructure Security Agency (CISA) des Ministeriums für innere Sicherheit ( ) sowie das Amt für Heimatschutz ( ) des Senats ( ) auf Bundesebene konfrontiert sind.
Landes- und Kommunalverwaltungen müssen einige Hürden überwinden, um Zugang zu den Mitteln zu erhalten. Sie müssen der CISA jährlich einen Ausgabenvorschlag zur Genehmigung vorlegen. Zudem müssen sie die finanzielle Last durch einen Eigenanteil tragen, der schrittweise von 10 % der Bundesmittel im Jahr 2022 auf 40 % im Jahr 2025 ansteigen wird.
Angesichts der „perfekten Sturmfront“ an Cyber-Herausforderungen seit Beginn der COVID-19-Pandemie werden sich diese Bemühungen durchaus lohnen, so Rita Reynolds, Chief Information Officer bei der National Association of Counties (NACo).
„COVID hat die Entwicklung technologischer Lösungen für Landkreise beschleunigt, gleichzeitig aber auch ein weitaus breiteres Betätigungsfeld für böswillige Akteure geschaffen“, sagt Reynolds. Angesichts der zunehmenden Zahl von Vorfällen und Sicherheitsverletzungen steigen die Prämien für Cyberversicherungen, wobei Versicherer häufig von Behörden verlangen, dass diese Schutzmaßnahmen sowie Maßnahmen zur Cybersicherheit wie beispielsweise die Multi-Faktor-Authentifizierung (MFA) einführen. „Die Multi-Faktor-Authentifizierung ist längst kein bloßes ‚Nice-to-have‘ mehr“, sagt Reynolds. „Das ist eine Notwendigkeit.“
Während Maßnahmen wie die mehrstufige Authentifizierung (MFA) und „ “ sowie das Zero-Trust-Modell ganz oben auf der Cyber-Wunschliste vieler Landes- und Kommunalverwaltungen stehen, gehören zu den weiteren notwendigen Sicherheitsmaßnahmen die Modernisierung veralteter Netzwerke, die Einführung einer Echtzeitüberwachung, der Schutz vor Schwachstellen an Endgeräten sowie die Absicherung dedizierter „.gov“-Domains.
Mehr als nur eine Frage der Finanzierung
Es wird weit mehr als nur Geld erfordern, um die Sicherheit der Landes- und Kommunalverwaltungen zu verbessern.
„Widerstandsfähigkeit ist entscheidend“, sagt die Abgeordnete Yvette Clarke (D-N.Y.), Vorsitzende des Unterausschusses für neue Bedrohungen, Cybersicherheit sowie Wissenschaft und Technologie des Ausschusses für innere Sicherheit des Repräsentantenhauses. „Entschlossene Angreifer haben alle Zeit der Welt, um sich der Überwindung von Netzwerkabwehrmaßnahmen zu widmen.“ Clarke erklärt, dass die Bundesstaaten im Rahmen des „ “ Notfallpläne für Cybervorfälle einführen sollten, damit der Betrieb auch dann weiterlaufen kann, wenn Systeme kompromittiert werden.
Im Jahr 2020, dem letzten Jahr, für das vollständige Daten vorliegen, verzeichneten die von Ransomware-Angriffen betroffenen staatlichen und kommunalen Stellen einen Ausfall von 773 Tagen im Behördenbetrieb, der auf Cyberkriminalität und Wiederherstellungsmaßnahmen zurückzuführen war. Wichtige staatliche Einrichtungen, wie beispielsweise Versorgungsunternehmen und die „ 911 “-Dienste, fielen aus. Laut einer Schätzung von „ “ ( ) belaufen sich die durchschnittlichen Kosten für Ausfallzeiten auf 8 662 US-Dollar pro Minute. Und die Zahl der Angriffe pro Jahr steigt weiter an.
Früher waren die Regierungen besorgt darüber, dass Hacker personenbezogene Daten stehlen könnten. „Ein Hacker könnte nun einen ganzen Bundesstaat lahmlegen“, sagt Pincus von der NASCIO. „Es handelt sich nicht mehr um ein IT-Problem“, sagt er. „Es handelt sich um eine Frage der Regierungsfortführung.“
Angesichts der Auflage, dass Landes- und Kommunalverwaltungen die Bundesmittel in gleicher Höhe aufbringen müssen, wird die Entscheidung, in die Aufrechterhaltung der digitalen Infrastruktur zu investieren, bei jeder einzelnen öffentlichen Einrichtung liegen. Es handelt sich hierbei um Gruppen, die ständig unter Geldmangel leiden und deren Budgets aufgrund der durch die Pandemie verursachten zusätzlichen Kosten nun noch stärker strapaziert sind. Pincus erklärt, dass eine Regierungsbehörde, die diesen geringen Prozentsatz der Kosten nicht übernehmen möchte – im nächsten Jahr ist der Kofinanzierungsanteil auf lediglich 10 % festgelegt –, keinen Förderantrag stellen kann. „Das ist verschwendetes Geld und eine verpasste Chance“, ist er der Ansicht.
Mit anderen Worten: Die im neuen Infrastrukturgesetz bereitgestellten 1 Milliarde Dollar haben zwar eine Auffahrt zu einer verbesserten Cybersicherheit auf Landes- und Kommunalebene geschaffen, doch bleibt offen, ob der Gesetzgeber nun auf die Überholspur wechseln wird.
Die ersten Anzeichen von Interesse werden Anfang 2022 zu erkennen sein, wenn die Landes- und Kommunalregierungen ihre jährlichen Prioritäten festlegen. Die Ironie dabei ist, dass viele ihrer Beratungen inmitten einer Pandemie online über anfällige Netzwerke stattfinden werden und nicht in den nach wie vor geschlossenen Abgeordnetenbüros.
