Cybersecurity als Eintrittskarte in den Verteidigungsmarkt

Nicht jeder, der will, kommt rein: Sebastian Dännart, Director Cybersecurity Consulting bei infodas, erklärt im Gespräch mit Lars Becker, stellvertretender Chefredakteur it security, welche Compliance-Hürden Unternehmen auf dem Weg in den Defense-Markt nehmen müssen.

Herr Dännart, viele Unternehmen wollen mit der Verteidigungsindustrie zusammenarbeiten. Was hat sich in diesem Markt zuletzt verändert, und welchen Stellenwert hat Cybersecurity dabei?

Sebastian Dännart: Durch steigende Verteidigungshaushalte und die geopolitische Lage ist ein Markt entstanden, den es vorher so nicht gab. Früher galt die Verteidigungsindustrie als Schmuddelecke, heute ist sie wieder salonfähig. Wir bekommen ständig Anfragen, wie man beispielsweise mit der Bundeswehr ins Geschäft kommt. Cybersecurity spielt dabei eine riesige Rolle. Der „Software Defined Defense“-Ansatz erfordert dies, denn selbst Waffensysteme an der Front sind so durchdigitalisiert, dass Software und damit Cybersecurity immer wichtiger werden. Das spielt auch in Regularien wie dem Cyber Resilience Act hinein. Militärgüter sind zwar ausgenommen, der Grundgedanke gilt aber trotzdem: Produkte müssen aus sich heraus bereits sicher auf den Markt kommen.

Welche konkreten Anforderungen müssen Unternehmen erfüllen, um als Partner für die Bundeswehr infrage zu kommen?

Sebastian Dännart: Man muss hier zwischen normaler Cybersecurity-Basishygiene und speziellen Anforderungen der Bundeswehr unterscheiden. Die Basishygiene sollte eigentlich jeder erfüllen, das ist häufig nicht der Fall. Wir setzen in Projekten öfter erst ein Programm auf, welches eine Grundstruktur in die Informationssicherheit des Unternehmens bringt, etwa angelehnt an den BSI IT-Grundschutz. Wer jedoch in die Lieferkette der Bundeswehr eintritt und Verschlusssachen verarbeitet, braucht zusätzlich zugelassene Geräte und Komponenten. Reicht die Einstufung „VS-Nur für den Dienstgebrauch“, sind die Anforderungen überschaubar; ab „VS-Vertraulich“ steigen sie deutlich. Entscheidend ist immer, welche Daten verarbeitet werden, denn daraus leitet sich der Schutzbedarf ab. infodas ist selbst einer der größeren Lieferanten für Sicherheitskomponenten – und da wird sehr genau hingeschaut.

Deshalb auch der von Ihnen geprägte Begriff „VS-Fitness“.

Sebastian Dännart: Ja, das ist unsere eigene Wortschöpfung: VS steht für Verschlusssache, und wir machen Unternehmen fit dafür, diese zu verarbeiten. Und zwar „Military Fit“, nicht „Disco Fit“. Es geht nicht um Aufpumpen, sondern um Substanz. Das Unternehmen soll Vorgaben wie das VS-NfD-Merkblatt (Anm.d.Red.: Verschlusssachen der Stufe „Nur für den Dienstgebrauch“) nicht nur auf dem Papier erfüllen, sondern real sicherer werden. Mit dieser Fitness kommt auch Agilität, damit nicht jede neue Anforderung zur Überforderung wird, sondern das Unternehmen systemisch resilient bleibt.

Wo liegt der Unterschied zwischen compliant sein und wirklich sicher sein?

Bei Compliance geht es historisch meist darum, dass Geschäftsführungen sich aus der Haftung herausrechnen. Man erfüllt eine Anforderung, setzt den Haken und ist fein raus. Ob das Unternehmen dadurch sicherer wird, war nie die Frage. Inzwischen öffnet Compliance auch Märkte. Trotzdem bleibt es dabei: Sie schützt vor Haftung und öffnet Märkte, aber nicht vor Angreifern. Wir werben dafür, dass Organisationen nicht nur den Haken setzen, sondern wirklich sicher werden.

Compliance schützt vor Haftung und öffnet Märkte, schützt aber nicht vor Angreifern.

Sebastian Dännert, infodas

Ein Großteil moderner Angriffe läuft über Drittanbieter, Stichwort Supply Chain. Welche Bedeutung hat das Thema hier, und wie gehen Sie vor, wenn Sie bei einem Kunden eine Schwachstelle in dessen Lieferkette entdecken?

Sebastian Dännart: Das Thema hat eine sehr große Bedeutung, und zwar branchenübergreifend. Große Konzerne haben meist eine solide Basishygiene, deshalb arbeitet man sich in der Lieferkette nach unten, etwa im Automotive-Bereich, wo Zulieferer eng vernetzt sind, die oft selbst nur Mittelständler mit geringeren Sicherheitsvorkehrungen sind. Bei Software kommt hinzu, dass Schwachstellen bereits in Bibliotheken eingebaut und über die Lieferkette in größere Systeme implementiert werden. Im KI-Zeitalter werden solche Lücken zudem leichter und in größerer Zahl entdeckt. Auch die Bundeswehr schaut deshalb heute genauer auf Zulieferer als noch vor Jahren.

Bei uns hängt das Vorgehen vom Mandat ab: Teilweise prüfen wir direkt bei den Lieferanten die Systeme, als Supplier Audit, und machen Risikoanalysen, welche Daten dieser Lieferant verarbeitet und was ein Vorfall bedeuten würde, teilweise aggregieren wir diese Analysen für Kunden, um Systeme übergreifend zu bewerten.

Das bringt uns zu einem weiteren Ansatz, den Sie verfolgen: Data-Centric Security. Was steckt dahinter?

Sebastian Dännart: Der Trend geht weg von der Frage „ist dieser Server sicher“ hin zu der Frage, welche Informationen verarbeitet der Server und wie sind sie eingestuft. Daraus lässt sich ein echter Zero-Trust-Ansatz ableiten: Wer darf zugreifen, wann muss der Zugriff geprüft werden, statt nur höhere Mauern und mehr Firewalls zu bauen. Das gilt für alle Branchen, im Verteidigungsumfeld aber besonders. Ein Hauptquartier überträgt Daten an Waffensysteme an der Front. Wird die Verfügbarkeit dieser Sensordaten gestört oder ihre Integrität manipuliert, kann im schlimmsten Fall das falsche Ziel angegriffen werden. Deshalb sprechen wir von „Data Driven Decision Dominance“: Nur wer die Hoheit über seine Daten hat, kann im richtigen Moment die richtige, lebensrettende Entscheidung treffen.

Ähnliche Abwägungen gibt es auch in der Industrie, etwa bei einer Banknotenproduktion: Schaltet man Anlagen bei möglichem Datenabfluss ab, obwohl das sofort Geld kostet? Ist der potenzielle Schaden durch ein Datenleck zu groß, muss die Vertraulichkeit über den laufenden Betrieb gestellt werden.

Digitale Souveränität ist ein großes Thema. Achtet die Verteidigungsindustrie und speziell die Bundeswehr beim Markteintritt darauf?

Sebastian Dännart: Absolut, und sie war da Vorreiter. Inzwischen erlaubt sogar das Vergaberecht, digitale Souveränität als gewichteten Aspekt in Ausschreibungen einzubringen. Souveränität heißt nicht, zwingend ein deutsches Produkt zu nehmen, sondern die Fähigkeit zu haben, vom Verhandlungstisch aufzustehen. Auch wenn rund 80 Prozent der EU-Verteidigung an US-Clouds hängen, zählt vor allem, die eigenen Redundanzen vorher zu kennen. Was passiert, wenn der Stecker gezogen wird? Eine europäische Cloud oder ein europäisches KI-Modell als Alternative macht bereits einen Unterschied. Hundertprozentige Autonomie ist weder realistisch noch sinnvoll, aber Souveränität ist erreichbar.

Was wäre der erste konkrete Schritt für ein Unternehmen, das in den Defense-Markt einsteigen möchte?

Sebastian Dännart: Zunächst sollte man die eigene Motivation klären: Geht es nur um ein Stück vom Kuchen, oder gibt es ein Produkt, das tatsächlich gefragt ist? Der Markt läuft stark über Ausschreibungen, die für Neueinsteiger oft schwer zu bewältigen sind. Bundeswehreigene Kanäle wie das Cyber Innovation Hub der Bundeswehr oder das Innovationszentrum in Erding helfen dabei, aber ebenso können Kooperationen mit erfahrenen Industriepartnern helfen. Parallel sollte man schon mal seine Cybersecurity-Hausaufgaben machen; der BSI IT-Grundschutz ist dafür eine gute Basis. Und dann gilt: einfach in Ausschreibungen einsteigen, notfalls zunächst als Unterauftragnehmer. Das ist der leichtere Weg in einen eigenen, aber inzwischen offenen Markt.

Vielen Dank für das Gespräch, Herr Dännart!