Cloud Computing für kritische Infrastrukturen: Grundlagen

Warum kommen österreichische Betreiber kritischer Infrastrukturen – von der Energieversorgung über Spitäler bis zum Verkehr – heute ohne Cloud-Sicherheit und Resilienz nicht mehr aus? Diese Frage stellen wir uns bei seccrit.eu täglich, denn die Antwort entscheidet darüber, ob Stromnetze, Krankenhausinformationssysteme und Bahnleitsysteme auch bei Störungen zuverlässig funktionieren. In diesem Beitrag erklären wir die Grundlagen: was kritische Infrastruktur in Österreich bedeutet, warum Cloud-Modelle sinnvoll sind, welche Rolle Cloud-Sicherheit, Anomalieerkennung und Resilienz spielen und welche Pflichten die NIS2-Richtlinie mit sich bringt.

Was kritische Infrastruktur in Österreich bedeutet

In Österreich gelten jene Einrichtungen als kritisch, deren Ausfall oder Beeinträchtigung die öffentliche Sicherheit, die Versorgung der Bevölkerung oder das Funktionieren des Staates erheblich stören würde. Die Österreichische Strategie zum Schutz kritischer Infrastrukturen definiert dabei nicht nur einzelne Anlagen, sondern ganze Sektoren und deren wechselseitige Abhängigkeiten. Wir erleben in der Praxis, dass genau diese Abhängigkeiten – etwa zwischen Stromversorgung und Telekommunikation – die eigentliche Herausforderung darstellen.

Sektoren und Betreiber in Österreich

Zu den klassischen kritischen Sektoren zählen in Österreich unter anderem:

• Energie: Stromerzeuger, Netzbetreiber wie die Austrian Power Grid, Gasversorger
• Gesundheit: Spitäler, Labore, Blutbanken, Rettungsdienste
• Verkehr: ÖBB, Flughafen Wien, Hafenbetriebe, Straßeninfrastruktur
• Wasser und Abwasser: kommunale Versorgungsbetriebe
• Telekommunikation und digitale Infrastruktur: A1, Magenta, Rechenzentrumsbetreiber
• Finanzwesen: Banken, Börsen, Zahlungsdienstleister
• Öffentliche Verwaltung: Bundesrechenzentrum, Ministerien, Landesverwaltungen

Viele dieser Betreiber arbeiten heute mit Cloud-Diensten oder planen deren Einsatz – was den Schutzbedarf deutlich erhöht.

Rechtlicher Rahmen: NIS2 und österreichisches NISG

Die NIS2-Richtlinie der EU hebt die Anforderungen an Cybersicherheit auf ein neues Niveau. Sie muss bis 2024 in österreichisches Recht umgesetzt werden – konkret durch eine Novelle des Netz- und Informationssystemsicherheitsgesetzes (NISG). Das bedeutet für Betreiber kritischer Infrastrukturen strengere Sorgfaltspflichten, erweiterte Meldepflichten bei Sicherheitsvorfällen und eine verschärfte Aufsicht durch die zuständigen Behörden. Wir raten dazu, die Umsetzung nicht als bürokratische Pflicht, sondern als Chance für strukturierte Resilienz zu begreifen.

Warum Cloud Computing für kritische Infrastruktur sinnvoll ist

Cloud-Modelle – Private Cloud, Public Cloud und Hybrid Cloud – bieten österreichischen Betreibern handfeste Vorteile. Während eine Private Cloud maximale Kontrolle im eigenen Rechenzentrum erlaubt, punktet die Public Cloud mit globaler Skalierung und rascher Verfügbarkeit. Hybrid Cloud kombiniert beide Welten und ist für viele kritische Anwendungen in Österreich der pragmatische Mittelweg. Anbieter wie AWS und Microsoft Azure dominieren den Markt, während lokale Player wie A1 und Magenta mit Rechenzentren in Österreich punkten.

Skalierbarkeit und Kosteneffizienz

Kritische Infrastruktur muss Lastspitzen verkraften – etwa wenn ein Spital bei einer Pandemie plötzlich mehr Diagnosedaten verarbeitet oder ein Netzbetreiber Messdaten in Echtzeit auswertet. Cloud-Ressourcen lassen sich elastisch erweitern, ohne dass Betreiber teure Hardware auf Verdacht vorhalten müssen. Wir sehen in Projekten, dass sich dadurch Investitionskosten in Betriebskosten umwandeln und Budgets planbarer werden.

Verfügbarkeit und geografische Redundanz

Verfügbarkeit ist für kritische Infrastruktur nicht verhandelbar. Cloud-Anbieter betreiben geografisch verteilte Rechenzentren und replizieren Daten über mehrere Standorte. Für Österreich bedeutet das: Selbst wenn ein Rechenzentrum in Wien ausfällt, kann ein Failover auf einen Standort in Frankfurt oder Zürich erfolgen. Wichtig ist, dass Betreiber ihre Ausfallziele – etwa eine Verfügbarkeit von 99,99 Prozent – vertraglich mit dem Anbieter absichern.

Cloud-Sicherheit als Grundpfeiler

Cloud-Sicherheit ist weit mehr als eine Firewall am Netzwerkrand. Sie umfasst Verschlüsselung, Identitäts- und Zugriffsmanagement, kontinuierliche Überwachung und eine Sicherheitsarchitektur, die davon ausgeht, dass kein Nutzer und kein Gerät automatisch vertrauenswürdig ist. Besonders für sensible Daten in österreichischen Rechenzentren – etwa Patientendaten oder Netzsteuerungsdaten – sind diese Maßnahmen unverzichtbar.

Verschlüsselung und Schlüsselverwaltung

Wir empfehlen, Daten sowohl im Ruhezustand als auch während der Übertragung zu verschlüsseln. Entscheidend ist die Schlüsselverwaltung: Wer kontrolliert die Schlüssel – der Betreiber oder der Cloud-Anbieter? Für kritische Infrastruktur ist ein Modell sinnvoll, bei dem die Schlüsselhoheit in Österreich bleibt, etwa über einen Hardware Security Module (HSM) im eigenen Rechenzentrum oder über einen vertrauenswürdigen europäischen Dienst.

Zero Trust und Identitätsmanagement

Zero Trust bedeutet: Jeder Zugriff wird überprüft, unabhängig davon, ob er aus dem internen Netz oder von außen kommt. Multi-Faktor-Authentifizierung, rollenbasierte Zugriffsrechte und kontinuierliche Verifikation sind zentrale Bausteine. In österreichischen Spitälern und Energieversorgern sehen wir, dass Zero-Trust-Architekturen die Angriffsfläche erheblich reduzieren, weil kompromittierte Konten nicht automatisch Zugriff auf das gesamte Netz erhalten.

Anomalieerkennung: Angriffe frühzeitig erkennen

Angriffe auf kritische Infrastruktur beginnen selten mit einem lauten Knall. Meist sind es subtile Abweichungen im Netzwerkverkehr, ungewöhnliche Anmeldezeiten oder Datenabflüsse in kleinen Mengen. Genau hier setzt Anomalieerkennung an: Mit KI und maschinellem Lernen werden Muster erkannt, die von der Normalität abweichen.

Wie Anomalieerkennung funktioniert

Moderne Systeme lernen zunächst den Normalzustand einer Umgebung – welche Systeme kommunizieren wann, mit welchen Datenmengen und über welche Protokolle. Danach bewerten sie jede Abweichung mit einem Risikowert. Werkzeuge wie Splunk oder Elastic SIEM sind in der Praxis verbreitet, ergänzt durch spezialisierte Lösungen für industrielle Steuerungssysteme (ICS). Die TU Wien ist ein wichtiger Forschungsstandort für Anomalieerkennung und arbeitet an Verfahren, die auch in hochsensiblen Umgebungen einsetzbar sind.

Einsatz in der Praxis: Beispiele aus Österreich

Wir begleiten Projekte, in denen Anomalieerkennung in österreichischen Rechenzentren und bei Netzbetreibern eingesetzt wird. Typische Szenarien:

1. Ein Energieversorger erkennt nächtliche Zugriffe auf Leitsysteme, die keiner Wartung zugeordnet werden können.
2. Ein Spital identifiziert einen Datenabfluss aus dem Radiologie-Informationssystem, bevor Patientendaten das Haus verlassen.
3. Ein Rechenzentrumsbetreiber bemerkt eine ungewöhnliche Lastverteilung, die auf einen Kryptomining-Angriff hindeutet.

Resilienz und NIS2: Anforderungen an Betreiber

Resilienz ist die Fähigkeit, Störungen nicht nur zu überstehen, sondern den Betrieb rasch wiederherzustellen. Für kritische Infrastruktur bedeutet das: Redundanz, klare Wiederanlaufpläne und regelmäßige Tests. Die NIS2-Richtlinie verlangt genau das – und ergänzt es um Meldepflichten und strengere Aufsichtsmaßnahmen.

Resilienzstrategien für Cloud-Umgebungen

Wir empfehlen eine mehrschichtige Strategie: geografische Redundanz über mehrere Availability Zones, automatisierte Backups mit regelmäßigen Wiederherstellungstests, definierte Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO) sowie einen Notfallplan, der auch den Ausfall eines Cloud-Anbieters berücksichtigt.

NIS2-Pflichten und Umsetzung in Österreich

Mit der NIS2-Richtlinie und dem österreichischen NISG kommen auf Betreiber konkrete Pflichten zu: Risikomanagement, Meldung erheblicher Sicherheitsvorfälle innerhalb kurzer Fristen, Registrierung bei der zuständigen Behörde und Nachweise über getroffene Maßnahmen. Wir raten dazu, die Umsetzung frühzeitig zu starten, weil Audits und Dokumentation Zeit brauchen.

Herausforderungen und kritische Erfolgsfaktoren

So sinnvoll Cloud Computing für kritische Infrastruktur ist – es gibt Hürden. Datenschutz, Abhängigkeit von Anbietern und der Fachkräftemangel in Österreich sind die drei Themen, die uns in Beratungsgesprächen am häufigsten begegnen.

Datenschutz und DSGVO-Konformität

Die DSGVO verlangt, dass personenbezogene Daten rechtmäßig, zweckgebunden und sicher verarbeitet werden. Bei Cloud-Diensten mit Standorten außerhalb der EU ist besondere Vorsicht geboten. Die österreichische Datenschutzbehörde prüft genau, ob Auftragsverarbeitungsverträge, Datenübermittlungen und technische Schutzmaßnahmen den Anforderungen entsprechen. Wir empfehlen, Datenschutz-Folgenabschätzungen frühzeitig durchzuführen.

Vendor-Lock-in und Ausstiegsstrategien

Wer heute auf einen Cloud-Anbieter setzt, sollte morgen wechseln können. Offene Standards, containerisierte Anwendungen und klar dokumentierte Datenexporte reduzieren die Abhängigkeit. Wir raten zu einer Exit-Strategie, die vertragliche Kündigungsfristen, Datenmigration und Übergangsbetrieb regelt.

Erfolgsfaktoren sind aus unserer Sicht: klare Governance mit definierten Verantwortlichkeiten, regelmäßige Audits und Penetrationstests, kontinuierliche Schulung der Mitarbeitenden sowie eine Sicherheitskultur, die Fehler als Lernchance begreift.

Häufig gestellte Fragen (FAQ)

Was bedeutet NIS2 für österreichische Betreiber kritischer Infrastruktur?

Die NIS2-Richtlinie verpflichtet Betreiber zu strengerem Risikomanagement, erweiterten Meldepflichten bei Sicherheitsvorfällen und einer Registrierung bei der zuständigen Behörde. In Österreich wird sie über eine Novelle des NISG umgesetzt.

Ist Cloud Computing für kritische Infrastruktur überhaupt erlaubt?

Ja, Cloud Computing ist erlaubt, sofern die Anforderungen an Sicherheit, Verfügbarkeit und Datenschutz erfüllt sind. Entscheidend sind die Wahl des Cloud-Modells, die Vertragsgestaltung und die technischen Schutzmaßnahmen.

Wie funktioniert Anomalieerkennung in der Praxis?

Anomalieerkennung lernt den Normalzustand einer Umgebung und erkennt Abweichungen mithilfe von KI und maschinellem Lernen. Tools wie Splunk oder Elastic SIEM unterstützen dabei, und Forschungsprojekte an der TU Wien treiben die Verfahren weiter voran.

Welche Rolle spielt die österreichische Datenschutzbehörde?

Die österreichische Datenschutzbehörde überwacht die Einhaltung der DSGVO. Bei Cloud-Projekten prüft sie insbesondere Auftragsverarbeitung, Datenübermittlungen in Drittländer und technische Schutzmaßnahmen.

Wie reduzieren wir das Risiko eines Vendor-Lock-ins?

Wir setzen auf offene Standards, containerisierte Anwendungen und klar geregelte Datenexporte. Eine dokumentierte Exit-Strategie mit Kündigungsfristen und Migrationsplan ist Teil jeder seriösen Cloud-Architektur.

Cloud Computing für kritische Infrastruktur in Österreich gelingt nur mit ganzheitlicher Cloud-Sicherheit, funktionierender Anomalieerkennung und gelebter Resilienz. Die NIS2-Richtlinie und das österreichische NISG sind dabei keine Bremse, sondern eine Chance: Sie schaffen verbindliche Standards, die Vertrauen bei Bürgerinnen, Bürgern und Behörden aufbauen. Wir bei seccrit.eu begleiten Betreiber auf diesem Weg – von der Strategie über die Umsetzung bis zum Audit.