Anomalieerkennung in der Cloud: Wie wir kritische Infrastruktur in Österreich widerstandsfähig machen

Herkömmliche Sicherheitsmaßnahmen wie Firewalls und signaturbasierte Virenscanner haben einen blinden Fleck: Sie erkennen nur, was sie bereits kennen. Genau hier liegt das Problem für kritische Infrastruktur in der Cloud. Ein Angriff, der sich langsam entfaltet, sich als normale Admin-Aktivität tarnt oder eine noch unbekannte Schwachstelle ausnutzt, läuft durch klassische Filter oft ungehindert hindurch – bis der Schaden bereits eingetreten ist. Anomalieerkennung schließt diese Lücke, indem sie nicht nach bekannten Mustern sucht, sondern nach Abweichungen vom Normalverhalten. In diesem Beitrag zeigen wir, warum das für Energieversorger, Krankenhäuser und Verkehrsbetriebe in Österreich entscheidend ist, welche Techniken zum Einsatz kommen und wie wir Anomalieerkennung in der Praxis betreiben.

Warum Anomalieerkennung für kritische Infrastruktur unverzichtbar ist

Kritische Infrastruktur in Österreich wandert zunehmend in die Cloud. Energieversorger betreiben Lastprognosen und Abrechnungssysteme über Hyperscaler, Krankenhäuser lagern Patientendaten und Bildgebung aus, Verkehrsbetriebe steuern Fahrgastinformation und Ticketing über verteilte Dienste. Diese Verlagerung bringt Skalierbarkeit und Kostenvorteile – aber sie schafft auch neue Angriffsflächen, die mit traditionellen Perimeterschutz-Modellen nicht mehr abgedeckt sind.

Gleichzeitig verschärft die NIS2-Richtlinie der EU die Anforderungen. Die Umsetzungsfrist lief bis Oktober 2024, und seither müssen betroffene Organisationen nicht nur Vorfälle melden, sondern auch nachweisen, dass sie über wirksame Erkennungs- und Resilienzmaßnahmen verfügen. Ein reiner Blick auf Log-Dateien reicht dafür nicht aus.

Besonderheiten kritischer Infrastruktur in Österreich

Österreich hat eine kleinräumige, aber hochgradig vernetzte Infrastrukturlandschaft. Ein Ausfall bei einem regionalen Energieversorger kann sich über Kaskadeneffekte auf umliegende Bundesländer auswirken. Viele Betreiber arbeiten mit einer Mischung aus jahrzehntealten SCADA-Systemen und modernen Cloud-Diensten – eine heterogene Umgebung, in der Angreifer oft genau die Schnittstellen zwischen Alt und Neu ausnutzen.

Dazu kommt die regulatorische Vielfalt: Die Energie-Control Austria reguliert die Energiewirtschaft, die RTR (Rundfunk und Telekom Regulierungs-GmbH) beaufsichtigt die Telekommunikationsinfrastruktur. Wer als Betreiber in beiden Welten unterwegs ist, muss unterschiedliche Meldewege und technische Anforderungen erfüllen.

NIS2 und die Pflicht zur Erkennung von Anomalien

NIS2 verlangt von wesentlichen und wichtigen Einrichtungen ein risikobasiertes Sicherheitsmanagement. Konkret bedeutet das: Wer Vorfälle nicht erkennt, kann sie auch nicht fristgerecht melden. Die Richtlinie fordert explizit Maßnahmen zur Erkennung und Überwachung von Sicherheitsvorfällen. Anomalieerkennung ist damit nicht mehr optional, sondern ein integraler Bestandteil der Compliance-Strategie.

Was Anomalieerkennung in der Cloud leistet – und was nicht

Anomalieerkennung unterscheidet sich grundlegend von Signaturverfahren. Statt bekannte Angriffsmuster abzugleichen, modelliert sie das Normalverhalten eines Systems und schlägt Alarm, wenn Abweichungen auftreten. Das kann ein ungewöhnlicher Datenabfluss um drei Uhr früh sein, ein Dienstkonto, das plötzlich auf Ressourcen zugreift, die es nie zuvor berührt hat, oder ein plötzlicher Anstieg der API-Aufrufe aus einer Region, in der das Unternehmen nicht tätig ist.

In der Cloud-Arbeit setzen wir auf eine Kombination aus mehreren Techniken. Zu den bekanntesten Werkzeugen zählen Microsoft Azure Sentinel, AWS GuardDuty und Google Chronicle. Diese Dienste sammeln Telemetriedaten aus Netzwerk, Identität, Anwendungen und Containern und wenden darauf statistische und maschinelle Lernverfahren an.

Statistische Verfahren vs. Machine Learning

Statistische Verfahren arbeiten mit Schwellenwerten und Verteilungen. Sie sind transparent und schnell erklärt, stoßen aber bei komplexen, nichtlinearen Mustern an Grenzen. Machine Learning geht darüber hinaus: Modelle lernen aus historischen Daten, welche Muster normal sind, und passen sich an saisonale Schwankungen an. Ein Krankenhaus hat andere Normalwerte als ein Rechenzentrum, und ein Modell, das beides gleich behandelt, produziert entweder zu viele Fehlalarme oder übersieht echte Vorfälle.

Verhaltensbasierte Erkennung in Echtzeit

Verhaltensbasierte Erkennung beobachtet, was Nutzer, Dienste und Geräte tatsächlich tun. Sie erkennt beispielsweise, wenn ein Administratorkonto nachts auf Datenbanken zugreift, die es tagsüber nie verwendet. In Echtzeit bedeutet das: Die Analyse läuft kontinuierlich, nicht als nächtlicher Batch-Job. Nur so lassen sich Angriffe stoppen, bevor Daten exfiltriert werden.

Herausforderungen bei der Umsetzung in Österreich

Anomalieerkennung in der Cloud klingt technisch elegant, stößt in der Praxis aber auf reale Hürden. Drei davon begegnen uns in Projekten mit österreichischen Betreibern besonders häufig.

Datenschutz und DSGVO-konforme Anomalieerkennung

Anomalieerkennung verarbeitet oft personenbezogene Daten – IP-Adressen, Benutzerkonten, Zugriffsprotokolle. Die DSGVO verlangt Transparenz, Zweckbindung und Datenminimierung. Wir müssen daher genau dokumentieren, welche Daten zu welchem Zweck verarbeitet werden, und wo möglich anonymisieren oder pseudonymisieren. Bei Cloud-Diensten mit Rechenzentren außerhalb der EU ist zusätzlich ein Blick auf die datenschutzrechtlichen Garantien notwendig.

Integration in bestehende OT- und IT-Landschaften

Die größte technische Herausforderung liegt in der Integration. Viele Betreiber kritischer Infrastruktur arbeiten mit SCADA- und ICS-Systemen, die für Verfügbarkeit optimiert und nicht für Sicherheitsmonitoring ausgelegt sind. Diese Systeme lassen sich nicht einfach mit Agents bestücken. Wir setzen daher auf passive Netzwerkflussanalyse und Spiegelports, um Telemetrie zu gewinnen, ohne die Produktionsumgebung zu beeinträchtigen.

Die Energie-Control Austria und die RTR geben dabei den regulatorischen Rahmen vor. Wer als Betreiber in beiden Sektoren tätig ist, muss die Anforderungen beider Behörden berücksichtigen – ein Aufwand, der sich aber durch eine gemeinsame Datenplattform reduzieren lässt.

Best Practices für den Betrieb

Anomalieerkennung ist kein Produkt, das man einmal kauft und dann vergisst. Sie ist ein Betriebsprozess. Aus unserer Erfahrung haben sich folgende Maßnahmen bewährt:

• Kontinuierliches Monitoring mit klaren Eskalationspfaden statt nächtlicher Batch-Auswertung
• Regelmäßige Schulungen für IT- und OT-Teams, damit Alarme richtig interpretiert werden
• Red-Team-Übungen, die gezielt versuchen, die Erkennung zu umgehen
• Aufbau eines Security Operations Center (SOC) mit definierten SLAs für die Reaktion
• Automatisierte Anreicherung von Alarmen mit Kontext aus CMDB, Identitäts- und Netzwerkdaten

Aufbau eines SOC für kritische Infrastruktur

Ein SOC für kritische Infrastruktur unterscheidet sich von einem klassischen Unternehmens-SOC. Es muss sowohl IT- als auch OT-Telemetrie verarbeiten, mit 24/7-Bereitschaft arbeiten und über klare Schnittstellen zu Behörden und Krisenstäben verfügen. Wir empfehlen, mit einem klaren Scope zu starten – etwa der Überwachung der Cloud-Umgebungen – und schrittweise OT-Quellen einzubinden.

Zusammenarbeit mit CERT.at und A-SIT

CERT.at ist die nationale Koordinierungsstelle für Cybersicherheit in Österreich. Die Organisation sammelt und verteilt Informationen zu aktuellen Bedrohungen und unterstützt Betreiber bei der Bewältigung von Vorfällen. Das A-SIT (Zentrum für sichere Informationstechnologie – Austria) liefert technische Expertise und betreibt Forschung zu sicheren Identitäts- und Vertrauensdiensten. Beide Organisationen sind wertvolle Partner, wenn es darum geht, Erkennungsregeln zu schärfen und auf aktuelle Bedrohungslagen zu reagieren.

Ausblick: Resilienz durch intelligente Erkennung

Resilienz ist kein Endzustand, sondern ein kontinuierlicher Prozess. Angreifer passen ihre Taktiken an, Cloud-Umgebungen verändern sich, und regulatorische Anforderungen werden strenger. Anomalieerkennung muss sich mitentwickeln.

KI und Automatisierung in der Anomalieerkennung

KI-gestützte Verfahren werden künftig nicht nur Anomalien erkennen, sondern auch automatisiert reagieren – etwa betroffene Konten sperren, Netzwerksegmente isolieren oder Beweismaterial sichern. Der Mensch bleibt im Entscheidungsloop, aber die Reaktionszeit sinkt von Stunden auf Sekunden. Genau das ist bei kritischer Infrastruktur entscheidend.

NIS2 als Chance für mehr Cloud-Sicherheit

NIS2 wird oft als bürokratische Last wahrgenommen. Wir sehen darin aber eine Chance: Die Richtlinie zwingt Organisationen, ihre Sicherheitsprozesse zu dokumentieren, zu testen und zu verbessern. Wer das ernst nimmt, gewinnt nicht nur Compliance, sondern echte Widerstandsfähigkeit.

FAQ

Was ist Anomalieerkennung in der Cloud?

Anomalieerkennung in der Cloud ist ein Verfahren, bei dem kontinuierlich Telemetriedaten aus Netzwerk, Identität, Anwendungen und Containern analysiert werden, um Abweichungen vom Normalverhalten zu erkennen. Statt bekannte Angriffsmuster abzugleichen, modelliert das System, was normal ist, und alarmiert bei ungewöhnlichen Aktivitäten.

Warum ist Anomalieerkennung für NIS2 relevant?

Die NIS2-Richtlinie der EU, deren Umsetzungsfrist bis Oktober 2024 lief, verlangt von betroffenen Organisationen Maßnahmen zur Erkennung und Überwachung von Sicherheitsvorfällen. Ohne Anomalieerkennung lassen sich Vorfälle oft nicht rechtzeitig identifizieren und fristgerecht melden.

Welche Tools setzen wir für Anomalieerkennung ein?

Wir arbeiten unter anderem mit Microsoft Azure Sentinel, AWS GuardDuty und Google Chronicle. Diese Dienste kombinieren statistische Verfahren mit maschinellem Lernen und lassen sich in bestehende SOC-Prozesse integrieren.

Wie unterstützen CERT.at und A-SIT österreichische Betreiber?

CERT.at ist die nationale Koordinierungsstelle für Cybersicherheit und unterstützt bei der Bewältigung von Vorfällen. Das A-SIT liefert technische Expertise und Forschung zu sicheren Identitäts- und Vertrauensdiensten. Beide sind wichtige Partner für Betreiber kritischer Infrastruktur.

Was kostet der Aufbau eines SOC für kritische Infrastruktur?

Die Kosten hängen stark vom Scope ab. Ein SOC, das nur Cloud-Umgebungen überwacht, ist deutlich günstiger als eines, das auch OT-Quellen wie SCADA und ICS einbindet. Wir empfehlen, mit einem klar abgegrenzten Startbereich zu beginnen und schrittweise zu erweitern.

Anomalieerkennung in der Cloud ist für kritische Infrastruktur in Österreich kein Luxus, sondern eine Notwendigkeit. Sie schließt die Lücke, die klassische Sicherheitsmaßnahmen hinterlassen, und ist zugleich Voraussetzung für NIS2-Konformität. Wer heute in kontinuierliches Monitoring, qualifizierte Teams und die Zusammenarbeit mit CERT.at und A-SIT investiert, baut Resilienz auf – nicht als einmaliges Projekt, sondern als dauerhaften Prozess.