Manfred Kloiber: Peter Welchering, Sie sind der Frage nachgegangen, was dran ist an diesen Warnungen. Ist das Panikmache, oder steckt mehr dahinter?

Peter Welchering: Es steckt leider mehr dahinter. Auch wenn die meisten Regierungen hier abwiegeln wollen so nach dem Motto: Das ist doch eher eine abstrakte Gefahr. Zwei Fragen müssen hier beantwortet werden: 1. An welchen Stellen sind die Kernkraftwerke verwundbar durch einen Cyberangriff? Und zweitens: Welche Ressourcen haben Terrororganisationen wie der IS, um hier anzugreifen. Wenn man beide Fragen ehrlich beantwortet, dann kommt man zu dem Ergebnis: Die Gefahr ist leider sehr konkret.

Kloiber: Fangen wir mal mit den Angriffspunkten an. Wo liegen die Sicherheitslücken in den Kernkraftwerken in Sachen Cyberangriff?

Welchering: In neueren Atomkraftwerken sind die Leitrechner für die Kraftwerkssteuerung nicht ausreichend von anderen Computernetzwerken getrennt. Das heißt über Verwaltungsnetzwerke kann Schadsoftware auf die Leitrechner kommen und zum Beispiel das Kraftwerk herunterfahren, die Reaktorsteuerung manipulieren, die Kühlkreisläufe ausschalten, letztlich sogar den GAU herbeiführen.

Kloiber: Nun hängen aber doch die Leitrechner nicht direkt am Internet.

Welchering: In einigen Fällen dummerweise schon. In anderen Fällen hängen Verwaltungsnetzwerke am Internet, aber es gibt Gateways zwischen den Verwaltungsrechnern und den Leitrechnern. Da gab es ja den schönen Zwischenfall im japanischen Kernkraftwerk Monju. Die haben sich auf einen Rechner im Kontrollraum mit einem Update für einen Videoplayer einen Computervirus heruntergeladen. 2014 war das. Die Schadsoftware ist zum Glück rechtzeitig erkannt worden.

Kloiber: Nun hört man ja immer wieder, in Europa seien die Sicherheitsrichtlinien viel restriktiver.

Welchering: Die Frage ist dann, wie solche Sicherheitsrichtlinien dann umgesetzt werden und was man aus sicherheitsrelevanten Vorfällen lernt. Im belgischen Kernkraftwerk Doel ist 2014 ein Turbinenschaden festgestellt worden, offensichtlich Sabotage. Deshalb wurde der Fall untersucht. Bei der Untersuchung stellte sich heraus, dass auch Leitstand-Signale manipuliert worden waren. Der Vorfall wurde sofort für geheim erklärt. Und so ist bis heute nicht klar: Was es mit dieser Manipulation an den Leitzstand-Signalen auf sich hat.

Kloiber: Zumindest deutsche Kernkraftwerke sind ja nicht davon betroffen. Die werden ja noch analog gesteuert?

Welchering: Die Reaktorsteuerung ist bei Kerkraftwerken in Deutschland analog ausgelegt. Das stimmt. Aber das hilft nur bedingt. Denn seit 2010 wurden beispielsweise die Motorsteuerungen für die Kühlmittelpumpen digitalisiert. Also die Kühlmittelpumpen werden nicht mehr analog gesteuert, sondern von einer digitalen Industriesteuerung. Und über die zahlreichen Angriffspunkte einer digitalen Industriesteuerung müssen wir ja nicht groß reden.

Kloiber: Diese digitalen Motorsteuerungen in deutschen Kernkraftwerken unterliegen doch der sogenannten SEWD-Richtlinie IT, also einer ziemlich harten Sicherheitsvorschrift.

Welchering: Wie hart die SEWD-Richtlinie IT ist, wissen wir nicht so genau. Denn der Wortlaut der Richtlinie ist geheim – aus Sicherheitsgründen übrigens.

Kloiber: Kommen wir zu den Ressourcen einer Terrororganisation wie dem IS. Sind die überhaupt in der Lage, solche Cyberattacken durchzuführen?

Welchering: Zumindest ihre Auftragnehmer sind das. Denken wir an die Cyberangriffe der Gruppe Falken der Wüste im Jahr 2015. Die arbeiten auch für den IS. Die sind gut geschult. Und einen Angriff auf die digitale Motorsteuerung einer Kühlmittelpumpe, das hat jeder Elektronikstudent ab dem drittem Semester drauf.

Kloiber: Wie können wir uns denn vor solchen Cyberattacken auf Kernkraftwerke schützen?

Welchering: Die Leitstellenrechner müssen von allen anderen Netzwerken getrennt werden. Die IT-Wartung in Kernkraftwerken muss von Personal durchgeführt werden, dass besser sicherüberprüft ist. Die Betriebssysteme und Steuerungssysteme müssen gehärtet werden, also nur die Funktionen dürfen implementiert sein, die für den Betrieb erforderlich sind. Und wir brauchen eine ständige Analyse möglicher Sicherheitslücken. Nicht nur einmal bei Einführung eines Systems, sondern ständig.

Kloiber: Haben die Warnungen des Anti-Terrorexperten der EU denn zumindest in der Europäischen Kommission für Konsequenzen gesorgt?

Welchering: Bisher nicht. Da müssen wir abwarten. 2012 hat der zuständige Kommissar Günter Oettinger Terrorangriffe und Cyberangriffe ja noch aus den Stresstests für Kerkraftwerke, die die EU durchgeführt hat, herausgenommen. Es wäre an der Zeit, die Kernkraftwerke auf solche Risiken zu testen. Im Raum stehen Sicherheitsnachrüstungen von 250 bis 300 Millionen Euro für europäische Kernkraftwerke in Sachen IT-Sicherheit. Da muss zweierlei passieren: Die Sicherheitsrichtlinien müssen offen diskutiert werden. Solange die geheim sind, können kritische Experten diese Sicherheitsrichtlinien nicht testen und bewerten. Und bei Gefahrenanalysen muss hier endlich mal zu Ende gedacht werden. Bisher wird hier bei Cyberangriffen immer abgeblockt. Die Risiken werden verschwiegen.