Cybersecurity von PV-Anlagen: Fernzugriff, Beschaffung und Betreiberpflichten

00:00:06: Die sollten anfangen zu verstehen, dass Sicherheit kein Produkt ist.

00:00:13: Und ein Prozess ist nur so gut wie er tatsächlich gelebt

00:00:16: wird.".

00:00:19: Denn heute geht es um die Frage, die ja eigentlich relativ lang doch eigentlich nur ziemlich technisch klang und inzwischen ja hochpolitisch geworden ist wer darf eine Energieanlage aus der Ferne eigentlich kontrollieren?

00:00:31: Und welche technischen, rechtlichen und geopolitischen Abhängigkeiten akzentieren wir denn überhaupt dabei?

00:00:36: Viele unserer Wegsterichter kommen aus Asien.

00:00:39: Kommen teilweise auch aus der EU – der Großteil aber wie wir jüngst aus einem Zeitungsbericht erfahren haben aus Asiens.

00:00:46: Dieser Zeitungsgericht hat über Sicherheitslücken bei Solarnlagen berichtet wieder aufleben lassen und auf den Tisch gebracht.

00:00:55: Wir wollen aber auch dabei dann noch sauber trennen, was ist technisch möglich?

00:00:59: Was ist regulatorisch tatsächlich beschlossen?

00:01:02: Was folgt daraus für dem Betreiber, für den Einkauf, für Finanzierungen, Investoren und auch das Management?

00:01:10: Heute sind dabei der Tito Zwestbaum, der Matthias Reisenauer beide aus dem Hause Revo Elektronik, Herr Werner Bachmann von Gannerkuk natürlich mein Podcastpartner Dirk Vogels Hause Ganakuk und meine Wenigkeit Tilo.

00:01:25: Und Matthias, wenn wir einfach mal ganz direkt

00:01:27: einsteigen...

00:01:30: Aus der aktuellen Berichterstattung heraus aus technischer Sicht was ist einer der entscheidenden Punkte?

00:01:36: Dabei um wo wird aus einer Sicherheitslücke zu schnell ein Blackout-Szenario?

00:01:41: Vielleicht würde ich da mal einsteigend und einfach nochmal kurz die Übersicht machen dass es ja drei Herausforderungen gibt Einmal Ich nenn's mal plakativ Thema Hacker-Angriffe irgendwo reingehen.

00:01:53: Dann habe ich aber auch zusätzlich noch das Risiko einer Entscheidung von der Regierung aus Fernost, dass die beschließen wir gehen hier rein und schalten was ab und dann nur der Vollständigkeitshalber.

00:02:06: besprochen hab ich auch noch Verkettung von unterschiedlichen Problemen sowie sind Spanien vor kurzem vorkam.

00:02:12: Das ist passiert.

00:02:12: also nochmal die Übersicht was für Gefahren es gibt.

00:02:20: Ich mal kurz auf die Beispiele ein.

00:02:22: Also ich habe das Thema Hacker-Angriffe angesprochen, da gibt es einen Vorfall aus Polen von Dezember letzten Jahres wo man mittlerweile davon ausgeht dass ist eine hybride Kriegsführung von Russland war die damals ich sag's mal versucht haben was möglich ist.

00:02:38: sie sind da ziemlich weit gekommen.

00:02:40: dann gibt's was Hacker.

00:02:42: Angriffe hast du gerade angesprochen.

00:02:44: der Zeitartikel zeigt hat das bei SunGrow der einfach eindringen konnte und nicht nur auf kleiner Ebene, sondern das ganz weit nach oben gekommen ist.

00:02:54: Und vierhundert siebzig tausend Solarerlagen der EU auf einen Zugriff hätte steuern oder gar ausschalten können.

00:03:02: Oder gibt es vielleicht noch ein Beispiel, weil wir jetzt gerade SunGrow angesprochen haben mit nichts gegen SunGraw aber da ist tatsächlich ein Vorfall vor einem Jahr schon mal gewesen, wo ein Zugriffs über den Locker von denen also den Datenlocker war, weil sie da auch ein Passwort-Thema schon hatten.

00:03:19: Also nun mal zum Beispiel zu bringen was es hier gab.

00:03:23: wie gesagt glücklicherweise bis auf das in Russland waren das freundliche Angriffe die eher mal die Sicherheit getestet haben.

00:03:30: aber wir wollen uns nicht vorstellen was passiert wäre wenn das eben

00:03:34: nicht

00:03:35: auch freundlicher Absicht gewesen wäre.

00:03:37: dann können wir um die Beispiele gehen was Regierungen angeht oder was so die Möglichkeit angeht.

00:03:44: also ist offiziell bekannt, dass die chinesische Regierung in jeder Wechselrichterfirma einen gewissen Sitz hat und dort können die Befehle steuern.

00:03:58: Ich würde mal sagen und hoffen, die Chinesische Regierung hat genug Verstand das nicht zu tun und damit würden sie sich denke ich auch mehr schaden.

00:04:04: trotzdem will ich mal einfach diese Option verdeutlichen.

00:04:09: der Hersteller Day hat Aufgrund eines kommerziellen Streits mit seinem US-Partner, einfach mal getestet wie weitergehen kann und hat sämtliche Wechselrichter einfach abgeschalten.

00:04:23: Hier also nicht die Regierung.

00:04:24: aber wenn der das auf Grund im kommerzieellen Streit machen kann dann wissen wir und haben als Beispiel mal gesehen wie leicht auch dann die Regierung denen sagen kann schaltet ab und dann geht es keine zwei Stunden und dann haben die alle Wechselrechte ausgeschalten.

00:04:39: oder wollen wir noch ein Beispiel bringen wie sogar noch weiter gehen könnte?

00:04:43: Das hat im Mai, in einem Artikel veröffentlicht, dass amerikanische Fachleute herausgefunden haben, dass in Huawei-Geräten extra gesonderte Kommunikationskanäle noch eingebaut sind.

00:04:58: So vorsichtig sei – ich zitiere mal heute das jetzt nicht festgestellt ist die Komponenten von Huawei selbst stammen aber die waren da drin.

00:05:05: was will ich damit sagen?

00:05:06: Ich will dann mit auf die Gefahr hinweisen Selbst wenn wir hier aufpassen und sagen, ich habe ein Huawei oder ich hab ein chinesisches Gerät aber ich hänge eine deutsche Steuerung dahinter.

00:05:17: Selbst dann haben wir noch eine Gefahr dass die chinesische Regierung immer noch über diesen zweiten Weg abschalten kann.

00:05:25: einfach mal aufgezeigt welche Gefahren da bestehen

00:05:28: Wenn wir jetzt ja in dem Bereich unterwegs sind.

00:05:30: was müsste denn einen Angreifer tatsächlich können um da jetzt reinzukommen?

00:05:36: muss er sich tatsächlich vom vornherein im Gerät platzieren mit Hardware oder reicht es auch, wenn er auf anderen Wegel sich Zugang verschafft.

00:05:43: Wieder differenzieren nach den zwei Sachen Entscheidungen Regierung das wird in der EU gerade diskutiert.

00:05:50: da gibt's ein internes Dokument Sicherheitsdokument dass es so eine Art Kill Switch gibt also diese Möglichkeit.

00:05:59: der liegt nicht offiziell vor.

00:06:00: wir können also nicht auf diesen Bericht zugreifen aber dass diese Gefahr besteht Das heißt, es gibt diese Möglichkeit.

00:06:07: Ich habe von Anfang an ein Gerät, das einen Killswitch drin hat und am ersten, ersten, zweitausend X alle sämtlichen Geräte abschaltet.

00:06:16: Das ist der eine Weg den wir nicht genau wissen was passiert.

00:06:19: Und der zweite Weg da würde ich mal auf meinen CTO verweisen.

00:06:22: wie leicht kann man Wechselrichter oder Datenlogger hacken?

00:06:26: Da kann der sicherlich bessere Informationen geben.

00:06:30: Wenn der User atmen und das Passwort eins zwei drei vier fünf ist, glaube ich, braucht man nicht darüber reden wie leicht man dann so ein Datenlogger reinkommt.

00:06:38: Das liegt natürlich auch immer ein bisschen an den User würde ich sagen, das ist die erste Falle dass Sicherheit eigentlich schon auf dem Kunden anfängt und wir den Kunden darauf aufmerksam machen müssen oder vielleicht irgendwann mal einfach zwingen und sagen wir geben euch die Passviertel vor lieber Kunde Ihr könnt das gar nicht mehr frei entscheiden, damit eben auch diese Sicherheit gewährleistet wird.

00:07:02: Zweite Möglichkeit ist natürlich, dass ich sage, wenn ich die Hardware jetzt vor Ort habe und ich habe die passenden Analyse tools, dass sich da wirklich in die Hardwear reingehe den Fläschstampel ja wirklich versuche die einzelnen Bytes auszulesen um mir dann Rückschlüsse darüber geben zu lassen, wie sind denn die Passwörter?

00:07:20: Wie wird die Cloud angesteuert.

00:07:22: Die laufen die Zertifikate und da ist es einfach fürchterlich wichtig dass ich vorhin ein sage naja... Ich verschlissele meine kompletten Partitionen auf dem Gerät.

00:07:32: Ich verschlesse den kompletben Bootvorgang.

00:07:34: Ich bute zum Beispiel nur Firme die auch signiert ist und das sind alles so, sag' ich mal Stellschrauben die gerne vergessen werden aber eigentlich unendlich sinnvoll sind gerade um uns vor solchen Zugriffen abzusichern.

00:07:47: Würden wir gleich auf jeden Fall nochmal in die Tiefe reingehen?

00:07:50: Wollen wir da weitergehen,

00:07:51: Herr Bachmann

00:07:52: hat ja gerade eben schon mal so ein bisschen was erwähnt von was die EU alles machen möchte.

00:07:56: Was ist denn davon grade tatsächlich schon vielleicht umgesetzt

00:08:02: oder

00:08:02: geht kurzfristig in die Umsetzung hinein?

00:08:05: Die EU ist derzeit tatsächlich der Treiber, die Netzwerksicherheit voranzubringen.

00:08:11: Wenn man es den nationalen Regierungen überlassen hätte, hätte man glaube ich bis heute keine entsprechenden technischen Vorgaben.

00:08:19: Die dann sieht nämlich, dass in einer vernetzten Struktur von Energieerzeugung und Energiedistribution es nicht mehr den einzelnen Punkt gibt also das einzelne Kraftwerk, das einzelner Umspannwerk, des einzelne Verteilennetz was die Schwäche darstellt sondern die Vernetzung schlechthin.

00:08:40: Und die Idee der Europäischen Union ist, dass sich im Grunde parallel zu Entwicklungen wie sie bei den Medizinprodukten hatte und anderen, dass sich insgesamt das Level an zertifizierter Sicherheit in all diesen Dingen Stück für Stück höher setze.

00:08:57: Das geht nicht auf einem Schlag weil damit auch enorme Kosten verbunden sind.

00:09:03: Jeder Zertifiziertungsprozess dauert und er hat auch zur Folge, dass der Innovationszyklus in dem Bereich zertivizierte Technologie natürlich ein anderer sein muss.

00:09:16: gewesen bei Standard IT, also forty- achtentausend Schwachstellen pro Jahr die gefunden werden.

00:09:22: Die abgestellt werden bedeutet dass ich tatsächlich ein enormes Patching und Update Business in jedem Unternehmen habe.

00:09:29: das geht bei zertifizierter Technologie schlechterdings nicht.

00:09:32: Ich kann mich vom Monat zum Monat dort Updates in Dutzendfacher Stapelung einfügen wenn ich immer wieder eine Rezertifisierung dieser Technologie gehen müsste.

00:09:44: Also da beißt sich einerseits technischer Fortschritt mit dem Petitum zertifizierte Technologie nur in solche Infrastrukturen reinzugeben.

00:09:56: Europäische Union hat jetzt glaube ich ein Level erreicht, wo sie sieht.

00:10:00: das ist glaube ich das was man machen kann also Komponentensicherheit.

00:10:04: Die regulatorische Übersicht, Aufsicht ist da.

00:10:07: Die können einschreiten Es wird ge- reported Unternehmen werden registriert Technologie und zertifiziert usw.

00:10:14: Wir haben technische Richtlinien für bestimmte Informationssysteme wir haben Management Anforderungen mit siebenundzwanzigtausendneinzehnten die dann entsprechend festgezogen werden.

00:10:24: Aber all das Ist im Grunde nur Das Level von Achtzig Prozent Sicherheit.

00:10:31: Der Rest darüber heißt können wir denn tatsächlich unsere Versorgungsstrukturen aufsetzen, dass selbst im Fall der Fälle die Energiesicherheit gewährleistet ist.

00:10:43: Also da geht es tatsächlich von den reinen technischen Sicherheitsanforderungen in die Frage wie muss denn Resilienz aussehen?

00:10:52: Und da gibt's tatsächlich in der Energieversorgung granatenmäßige Lücken.

00:10:57: Es liegt nicht zuletzt daran das Deutschland sich über Jahrzehnte als eine Art von Inselbegriffen hat die eigentlich für sich selber genug ist und die Verschaltung, die Vernetzung mit den europäischen Partnerländern ist etwas was tatsächlich ziemlich im Argen liegt.

00:11:13: Und da Dinge, die wir aus politischer Sicht überhaupt nicht vorschne diskutieren sollten oder als abgeschrieben definieren sollten?

00:11:23: Ich glaube wir kommen ganz im Gegenteil langsam zu einer realistischen Einschätzung von Risiken.

00:11:29: Also ich habe mit der ANISA, der Europäischen, da hat man Sicherheits- oder IT-Sicherheitsbehörde aber auch mit dem was bei uns von Verfassungsschutz bis BSI berichtet wird.

00:11:39: Habe ich halt tatsächlich einerseits organisierte Kriminalität die in den Bereich unterwegs ist.

00:11:45: das ist so etwa... ...vielundzwanzig Prozent der ganzen Vorfälle und ich habe zunehmend eben staatliche Akteure in dieser Geschichte drin.

00:11:53: Wir hatten jetzt, in der Ukraine-Versuche über diese Sandwormangriffe dort die Energieinfrastruktur möglich slamm zu legen.

00:12:03: Das ist zunächst hier aufgeschlagen als hoch.

00:12:06: wir sind ja alle so verwundbar.

00:12:07: das ist in der Tat so.

00:12:08: wenn ich vernetzen arbeite dann habe ich plötzlich massenhaft Zugrisspunkte und Fachstellen die ein wirklich exponentielles Risiko des Angriffs da bedeuten können.

00:12:21: Auf der anderen Seite bietet mir die vernetzte Struktur aber möglicherweise eine Resilienz und Robustheit gerade gegen solche Down-Times.

00:12:31: Die Frage ist nur, wie verbessere ich das eine ohne dass andere hinten unterfallen zu lassen?

00:12:39: Ich glaube da kommen wir gleich in der Systemkontrolle einmal darauf, wenn wir uns anschauen was funktioniert denn wie.

00:12:46: Vorhin will aber der Dirk noch etwas einwerfen.

00:12:49: Tatsächlich hätte ich an dieser Stelle die Frage gestellt um auf die operative Ebene heute zu kommen Wenn ich mir die Beteiligten am deutschen Energiemarkt ansehe, welche Möglichkeiten haben sie tatsächlich?

00:13:04: Diese Anforderung, die ihr gerade beschreibt, erfüllen zu können.

00:13:09: Wir sprechen in deinen Beispielen von staatlichen Organisationen und Geheimdiensten die ehrlich gestanden mit ganz anderen Möglichkeiten ausgestattet sind, allein wenn ich auf unsere achtundfünfzig Netzbetreiber zu sprechen komme als ein Großteil jener.

00:13:26: Wenn ich mir Stadtwerke anschaue, die im Rahmen der Ausschreibungen Resilienzvorgaben machen sollen, weil gewisse prozentuale Anteile an Komponenten aus China geliefert werden.

00:13:40: Welche Möglichkeiten haben die denn tatsächlich so etwas auch zu überprüfen wenn sie dann in ihren Ausschreibungen ist berücksichtigen?

00:13:48: Aber nachher bei den Angeboten die Reinkommen ist es zu überprüfen.

00:13:52: Und welche Möglichkeiten haben IPC-Unternehmen, die sich an solchen Ausschreibungen beteiligen, tatsächlichen realistische Art und Weise zu überprüfen?

00:14:01: Ob die Komponenten Stichwortwechselrichter, die sie hier anbieten tatsächlich jene sind.

00:14:06: Die auch diese Resilienzvorgaben erfüllen.

00:14:10: also das ist für mich auf der einen Seite eine wunderbare Beschreibung dessen was passieren soll was sicherlich auch notwendig ist Was ich gar nicht in Abrede stellen möchte.

00:14:21: Aber die Frage, die sich mir stellt ist.

00:14:23: Wie realistisch ist tatsächlich die Umsetzung?

00:14:26: Wie hoch sind die Hürden?

00:14:27: Sind sie tatsächlich machbar?

00:14:29: Kann man sie tatsächlich

00:14:30: überspringen?".

00:14:31: Die EU hat das ja schon verstanden und aus diesem Internssicherheitsbericht mal plakativ vor wenigen Monaten einfach mal die Regel rausgebracht – EU-Förderstopp für chinesische Wechselrichter!

00:14:45: Weil da die Thematik einfach die Schwierigkeit ist, chinesischer Wechselrechter, chimesischer Datenlocker oder Steuereinheit, vielleicht noch chinesischer Trafu.

00:14:54: Alles in einer Hand!

00:14:55: Wir haben gar keine Kontrolle drauf zu kommen und das kann sogar jeder IPC eigentlich auch aus reiner Logik sicherstellen.

00:15:07: wenn ich alles aus eine Hand kauf mit chinesischem Cloud, chinesischen Locker dann ist die Gefahr dort höher als wenn ich es vielleicht diversifiziere.

00:15:17: Also jetzt mal ganz einfach gesprochen.

00:15:19: Ich mache schon einen Riesenschritt, wenn ich sage, ich nehme ein chinesischen Wechselrichter und dann nehme ich aber vielleicht einen deutschen Datenlocker.

00:15:27: Da muss ich aufpassen auch da sind schon wieder welche an China verkauft worden.

00:15:31: Aber es gibt dadurch aus Anbietern, dann diversifiziere ich schon mal mein Risiko.

00:15:36: Das wäre einmal der erste Schritt den ich gehen kann und dem mich auch jedem raten würde.

00:15:41: Wollen wir uns das jetzt mal so ein bisschen von dem was für den Rat übergehen zu dem wie funktioniert das ganze dann eigentlich.

00:15:50: Wie kann ich denn da mehr Kontrolle darüber bekommen?

00:15:53: Also ich stelle mir jetzt mal so spontan die Frage dabei, wenn ich mir diese gesamte Kette anschaue vom Gerät, Firmware, da gibt es Portal, da gibts eine Cloud, dann gibts Updates, dann gibt's ein Servicezugriff verschiedenste Stellen mit unterschiedlichsten Berechtigungen.

00:16:08: der Endnutzer bei dem das Gerät installiert ist und kann was anderes machen als derjenige der das Geräte installiert ein Service-Techniker vor Ort kommt, der kann ja nochmal ganz ganz andere Dinge machen und auch in der Fernkontrolle sind ja die unterschiedlichsten Dinge möglich.

00:16:25: Also ich gehe jetzt noch nicht mal auf das Smart Home Thematik ein aber allein bin ich jetzt an einem Wechselrichter.

00:16:31: Ja dann sage hey!

00:16:32: Ich möchte das von dir und dem Befehl kann ich mir aus der Ferne geben Wie funktioniert das?

00:16:39: Und an welchen Stellen sind da eigentlich die Risiken?

00:16:43: Es funktioniert natürlich.

00:16:44: aus verschiedenen Stellen habe ich physikalisch Zugriff auf das Gerät, also sage ich mal springt die Person schon auf der Anlage rum.

00:16:53: Ich glaube dass es jeden bewusst ist so mit eines der schlimmsten Szenarien da kann man sich eigentlich fast nicht dagegen wehren.

00:17:00: natürlich ist das jetzt im Sinne des Betreibers dann dafür sorgt dass seine Anlage auch mit Kameras abgesichert ist oder Zugang begrenzt ist.

00:17:08: aber muss ich natürlich bewusst sein sobald ich physikalische gerät Auch nur die Kabel abziehen kann, kann ich theoretische auch in einem Blackout provizieren.

00:17:17: Gar kein Problem, es dauert nur ein bisschen länger.

00:17:20: Pro was wir natürlich Angst haben ist dass sich jemand externes auf die Geräte drauf schaltet und dann quasi der Knopfdruck sage ich mal ganze Anlagen lahmlegt.

00:17:31: Und da ist es tatsächlich ein bisschen ein Design-Konzept.

00:17:34: In unserem System haben wir solche Abschaltung überhaupt gar nicht erst gedacht, also wenn Sie mich jetzt fragen würden wie läuft das denn in der REFO Cloud oder im REFO Controller?

00:17:43: Dass wir die Wechselrichter runterfahren dann muss ich sagen hat nie jemanden darüber nachgedacht weil wir das eigentlich gar nicht erstmal wollten.

00:17:51: Also Sicherheit fängt ja schon den Systemkonzept an und ich renne den ganzen Löchern hinterher.

00:17:57: Wenn niemand gefragt hat, gibt es diese Funktion oder benötigen wir diese Funktion des kompletten Abschaltes?

00:18:02: Dann gibt sie einfach

00:18:03: nicht.

00:18:04: Dementsprechend kann ich Sie auch nicht so einfach triggern aus der Ferne.

00:18:08: Eine Zwischenfrage... Ich habe ja über die von Grundsteuerempfänger und so weiter hab' ich ja diese schönen Stufen, die wir da machen dürfen.

00:18:14: Genau richtig!

00:18:16: So, da gibt's ja die null

00:18:18: Probe.

00:18:18: Die gibt´s genau Weil uns die Gesetzgeber, die natürlich auch vorschreibt.

00:18:23: Und ist natürlich jetzt die Sache bei dem Rundsteuerentfänger gehen wir ja von einem Trusted-Signal aus, müssen wir ja, wir sind hier verpflichtet das weiterzuleiten.

00:18:32: aber selbst da würde zum Beispiel die Möglichkeit bestehen wenn wir jetzt in so eine Angriffsphase sind dass wir von REFO des unter Umständen mit Erlaubnis des Kunden einfach überschreiben könnten das Signal also wenn uns jetzt Kunde X anruft und sagt Wenn meine Geräte fallen hier reihenweise aus, weil der Rundsteuerempfänger angegriffen worden ist.

00:18:51: Dann wenn er sich bei uns verifiziert und wirklich sagt wer es ist.

00:18:54: das dauert natürlich aber wir können die Anlagen dann auch wieder einen entsicheren Zustand im Remote wiederherstellen.

00:19:00: Das heißt ihr habt also schon relativ umfassende Zugriffsrechte auf die Geräter?

00:19:05: Wenn sie denn internet verbunden sind vorausgesetzt.

00:19:11: Welche dieser Zugriffe?

00:19:12: Ich sage jetzt mal ganz provokant, überhaupt sinnvoll.

00:19:15: und was ist nice to have?

00:19:17: Ja also sinnvoll!

00:19:19: Und Nice To Have darüber kann man sich jetzt streiten.

00:19:21: Also sinnvoll ist ja letztlich erstmal alles was ich zum Betrieb der Anlage brauche.

00:19:28: Das heißt auch die Null-Prozent Abschaltung so hart wie es klingt weil die wird ja letztendlich vorgegeben vom Netzbetreiber.

00:19:35: Nice to have, würde ich dann sagen.

00:19:37: Sind genau diese Sicherheitsfunktionen, dass wir extern draufkommen?

00:19:41: und da stellt sich natürlich die Frage wie ist das überhaupt realisiert?

00:19:45: Können das Refo mit Arbeitern von überall auf der Welt machen oder geht es nur von unserem Headquarter?

00:19:50: Da sage ich schon Sicherheit beginnt in diesem Designkonzept, dass eben nicht jeder von überall alles machen kann sondern dass sich irgendjemand schon hier im Hause gefunden müsste um diese Funktion überhaupt umzusetzen.

00:20:02: Das ist ja auch schon wieder sicherheitstechnisch einen riesen Fortschritt.

00:20:06: Das bringt mich zu der nächsten Frage in dem Bereich, wir gehen jetzt ja immer davon aus dass diese Anlagen mit dem Internet verbunden sind auf die ein oder andere Weise ob das jetzt über einem VPN-Tunnel erfolgt oder ganz klassisch sitzt ein Mobilfunk guter etc.

00:20:20: pp dsl Anschluss was es da alles schönes gibt.

00:20:24: wie wäre das denn wenn jetzt das internet ausfällt bzw dieser anlage gar nicht mit dem internet verbunden ist?

00:20:30: Wenn die Anlage natürlich gar nicht mit dem Internet verwundet ist, dann gibt es letztlich auch keine Möglichkeit sie zu regeln und zu steuern oder überhaupt zu überwachen.

00:20:39: Das liegt dann letztlich mal direkt beim Kunden vor Ort.

00:20:42: Der Kunde muss dann wirklich lokal in seinem eigen System eine eigene Überwachungsstation bereitstellen.

00:20:47: Vor Ort funktioniert eigentlich alles ganz regulär.

00:20:49: das einzig was ich da nicht mehr habe sind halt die externen Zugriffsmöglichkeiten für Serbis- und haltes Monitoring.

00:20:56: Und das Monitoring müsste er sich dann halt selbst überlegen, da bieten wir natürlich auch Hilfe an.

00:21:01: Aber vom Prinzip geht es.

00:21:04: dann sage ich mal nur wenn er sich im gleichen Netzwerk wie die Anlage befindet dass er auch seine Notifikation aufs Handy kriegt man ganz vereinfacht gesagt.

00:21:12: Wenn wir jetzt mal kurz bei diesen Benachrichtigungen aus Handy und sowas reinschauen Herr Bachmann, da gibt's ja auch ganz viele schöne Gesetze drum herum, die das betreffen unabhängig oder... noch nicht mehr unabhängig, sondern auch ja ganz zentral mit der Frage dazu verbunden welchen Sörberstandort muss ich denn da eigentlich haben.

00:21:31: Rein rechtlich gesehen.

00:21:36: Sie hatten das in der Vorbesprechung schon mal gefragt wie sicher sind denn überhaupt regionale Standorte für Technologie die grundsätzlich international zugängliches?

00:21:51: Ich glaube der wesentliche Punkt ist nur nicht mal wo das Ding genau steht wer der Betreiber ist und wo er sitzt.

00:21:59: In dem Augenblick, wo ich Unternehmen habe die an der amerikanischen Börse notiert sind oder irgendwie das Bedürfnis haben am amerikanischem Markt einen Euro zu verdienen, habe ich ein Druckmittel, dem sich kaum ein Unternehmen entziehen kann.

00:22:13: Also der einzige Weg dahin ist tatsächlich hier Strukturen zu haben, die auch ohne den amerikanische Markt funktionieren können.

00:22:23: Das ist bei Technologie, die grundsätzlich international ist und mit internationalen Wirtschaftsunternehmen verbandelt ist.

00:22:30: Auch die Finanzinvestoren, Dirk weiß ja noch besser Bescheid als ich, ist das natürlich eine echte Herausforderung.

00:22:37: aber da brauche ich eine organisatorische Trennung.

00:22:41: Da ist gar nicht so sehr die Frage wo jetzt irgendetwas physisch liegt das Problem sondern es ist tatsächlich die Frage der Einflussnahme.

00:22:49: Also das ist der eigentliche Punkt.

00:22:51: und wenn ich jetzt Leute habe wie unwesentlich einflussreiche Menschen, wie Mask oder andere die alleine schon durch die Frage der Marktregulierung sich durch die Europäische Union da gegängelt fühlen.

00:23:04: Kann ich mir Leopard vorstellen dass das ohne weiteres als wirtschaftliches Druckmittel angesetzt wird um bestimmte Dinge eben zu öffnen, zuzulassen Freigaben zu erteilen usw.. Das geht komplett gegen jede Resilienzvorgabe, die wir irgendwie haben können.

00:23:25: Weil wenn ich diese Art von indirekter wirtschaftlicher Abhängigkeit habe dann ist die Resilience relativ wenig wert.

00:23:32: Werner das bringt mich tatsächlich zu der Frage und es gilt nicht nur an dich sondern im Grunde genommen auch an Matthias und Thilo als Wechselrichterhersteller.

00:23:41: Wenn ich das mal etwas extrem ausdrücken darf dann reden wir davon dass wir unter Druck stehen aus dem Osten dass wir unter Druck stehen aus dem Westen und das wir letztendlich von oben unten, wo auch immer alles was die von dir genannten Krisen dieser Welt angeht.

00:24:04: Am Ende des Tages ziehe ich die Konsequenz raus und sage wenn wir irgendetwas erreichen wollen und wenn wir in irgendeiner Richtung Schutz haben wollen dass wir im Grunde genommen eine in sich abgeschottete europäische Industrie benötigen, die genau diese Dinge selbst aufbauen kann und das wir innerhalb Europas Selbstsätze in der Lage sind tatsächlich diese Produkte zu fertigen.

00:24:26: Das bringt mich auf der einen Seite zur Frage ist Europa tatsächlich so stark das zu gewährleisten?

00:24:32: Und B natürlich an die... Teilnehmer in unserem Gesprächsrunde, Thilo Matthias aus Hersteller Sicht.

00:24:39: Ist das aus eurer Sicht aktuell tatsächlich machbar?

00:24:42: Respektive?

00:24:43: Welche Rahmenbedingungen auch wirtschaftsfördernde Rahmenbedienung bedarf es in Europa damit ihr als Hersteler dazu in der Lage seid sagen zu können alles dass Was wir an Produkten am Markt anbauen, entspricht den Resilienzvorgaben ist frei von den Tech-Krisen.

00:25:00: Ist frei von Produkten aus dem weiteren Westen oder aus dem fernen Osten und einzig und allein in Europa gefertigt?

00:25:07: Bei deiner Frage ganz kurz auf deinen Punkt nochmal eingehen.

00:25:11: Du hast gesagt Wir werden von Ost und West und von unten und oben Und da gibt es ja eine Berechnung von Solar Power Europe Von dem Verband und der hat berechnet das zehn bis zwanzig Gigawatt Solarpark abschalten, schon zu einem kompletten europäischen Blackout-Flächen deckend führen.

00:25:30: Also das bestätigt leider genau deine Angst und die Gefahr kann aus allen Richtungen kommen.

00:25:35: Aber jetzt sage ich als junger Mensch als Antwort – Ich glaube es ist nicht der richtige Weg wieder Globalisierung aufzugeben und zu sagen wir schotten uns komplett ab sondern des was die EU

00:25:47: versucht

00:25:48: müssen, muss die EU weitertreiben und wir als Unternehmen und als E-PCs und als Betreiber alle weiterdenken.

00:25:55: Dass wir einfach sagen, die einzelnen Punkte hier machen wir uns sicherer.

00:25:58: also werden ja gesagt Wir haben die Thema Hacker Angriffe das die EU auf dem Schirm.

00:26:03: da gibt es diese Kritis Regel für kritische Infrastruktur mit Meldepflicht und gewissen Regeln Und da ist jetzt mein Appell gebrauchen nicht wie ich gerade gesagt nur noch alles bei uns produzieren.

00:26:17: Wir können auch ausländische Techniken nehmen, aber wir müssen uns dann hier als Europäer daran halten und bei der Kritis haben sich die Unternehmen anzumelden gehabt zu registrieren.

00:26:26: Das hat kaum jemand gemacht.

00:26:28: also da gilt es vor einer Politik nachzuschärfen und von uns selber, von jedem Intrinsisch zu sagen ich mach das!

00:26:36: Und der andere Thema war ja die Entscheidung der Regierung.

00:26:39: gibt's diesen Verbot genesischer Wechselrichter, aber auch da kann man sagen... Da muss ich vielleicht nicht das komplett verbieten.

00:26:47: Wir als REFU sagen auch... Hey!

00:26:49: Das will ja keiner bezahlen wenn wir den Wechselrechter hierher stellen in Deutschland.

00:26:53: Gorsche der vierzig-fünfzig Prozent mehr als der chinesische.

00:26:57: Sag ich lass doch einen smarten Weg nehmen.

00:26:58: lasst uns doch so wie wir es bei REFu machen die dumme Technik aus China kaufen und alles was kritisch ist Kommunikations Hardware Software.

00:27:08: Die stellen wir hier her.

00:27:09: Es sind unsere Protokolle drauf.

00:27:11: Wir brauchen nicht alles hier produzieren.

00:27:12: Wir können das globalisiert und zusammenhängt, da profitiert die ganze Welt davon, dann kommen wir weiter.

00:27:17: Aber diese kritischen Komponenten wird bei uns in Pfullingen gebaut – die Steuereinheit so dass wir keine Sicherheitslücke haben.

00:27:25: Ich glaube, das muss eher der Weg sein, zumindest meine als sieben oder dreißigjähriger junger Mensch in Anführungszeichen Meinung nicht wegzugehen, sondern zu sagen... Wir nehmen die Komponenten, wir bleiben vernetzt.

00:27:37: Aber wir müssen hier einfach schlauer werden in Europa und selber jeder was da dran tun uns nicht nur auf die EU verlassen, Nicht nur auf den IPCs oder Unternehmen Betreiber verlassen.

00:27:47: Jeder hat seinen Paar sein Share zu tun.

00:27:49: Es gibt noch ein gutes Parallelbeispiel das schon ein paar Jahre alt ist.

00:27:54: Wir haben einen auswertigen Dienst mit dem Auswärtigen Amt und dieses Auswertigeamt ist vernetzt nicht nur mit sämtlichen Botschaften, sondern auch in generalkonsulaten weltweit.

00:28:07: Und bei der Frage wie diese Technik erneuert wird haben natürlich alle Anbieter weltweit hier geschrieben also von Cisco bis Constraint.

00:28:19: Der entscheidende Punkt bei der Ausschreibung warum ein deutsches Unternehmen es geworden ist war nicht so sehr by European oder by German Sondern es war das einzig Unternehmen was bereit war komplett jede Zeile Code in diesen Systemen offen zu leben.

00:28:35: Nur aufgrund dieser Transparenz war es möglich, da sein aus der Sicht des Auswärtigen Dienstes verlässliches Kommunikationssystems zu haben.

00:28:44: Nur eine kurze Nachfrage wären dazu rein Interessen halber.

00:28:48: Als man sich für den Zuschlag entschieden hat und das Projekt umgesetzt hat ist das dann auch jede Code-Zeil überprüft worden?

00:28:54: Da muss ich leider passen.

00:28:55: also wie ist danach nach der Ausschreibung In den Wartungszügeln dann weitergegangen?

00:29:00: ist, weiß ich nicht genau.

00:29:02: Aber das war jedenfalls damals ein Riesenakt.

00:29:04: Da ist tatsächlich ein Code Review über jede Zeile dieses Codes schon da gemacht worden um das zu überprüfen bevor das Ding da beschafft worden ist.

00:29:13: Ich übersetze jetzt mal in diesen schönen neudeutschen Begriff Cyber Security.

00:29:18: Muss dass dann nicht direkt sogar ein Thema werden für die Beschaffung?

00:29:24: Muss ich mir in der Beschaffungen nicht denn direkt Gedanken machen Wie das ja bei dieser Ausschreibung passiert ist, wie sicher ist das Ganze?

00:29:32: Welche Faktoren kommen damit rein und daraus ein Beschaffungskriterium wirklich abbilden.

00:29:37: Ich fand es jetzt gerade eben auch von Detilo Super zu sagen hey wir machen das so und das mal offen zu legen weil viele in der Branche die wissen glaube ich gar nicht wo die ganzen Wechselrichter herkommen und dass halt nur noch nen Bruchteil hier in Deutschland oder Europa gemacht wird.

00:29:50: Nein das ist sogar zwingend indem also die Vorgabe die wir jetzt haben Also NES-II-Kritis und damit überschwappend dann in das Energiewirtschaftsgesetz.

00:30:04: Das ist ja immer das Gleiche, es ist Sicherheit bei Design.

00:30:08: Grundsätzlich nach dem Stand der Technik muss das Ding den Art Forderungen entsprechen.

00:30:13: Und zwar wiederum angepasst auf die jeweilige Risikoexpositionen usw.

00:30:18: Es ist immer derselbe Katalog, das sind ungefähr die selben zwanzig Punkte.

00:30:23: Wenn das aber der Standard ist, der bedient werden muss dann muss sich auch als beauftragende Stelle jedenfalls so lange öffentliches Geld damit verwendet wird.

00:30:33: Tatsächlich diesen Standard auch verlangen, weil ich wiederum selber verpflichtet bin in meiner Lieferkette also in der Zulieferung von Technologie die ich habe exakt auch diesem Standard einzuhalten.

00:30:45: und der Witz an diese Geschichte mit dieser Frage der Sicherung der Lieferkette ist auch selbst ein Unternehmen was per se weder unter den Sicherheitsstandards Energiewirtschaftsgesetzes noch untersonst einfällt, ist aber wiederum vernetzt mit Unternehmen oder Strukturen die diesen Standard bedienen müssen und die dann ihrerseits sagen du kommst nur an unsere Struktur dran wenn auch du diesen Standard entsprechend bedienst.

00:31:14: Also die übliche Verkehrsverkehr zur erwartende Sorgfaltspflicht.

00:31:20: die Frage, was sind denn grundlegende Anforderungen?

00:31:23: Das würde man bei der Frage grobe Fahnesigkeit in der Haftungssituation formulieren.

00:31:29: Ist exakt der Reflex auf diese Standards.

00:31:32: Wenn ich dienig bediene, dann bewege mich nicht im Bereich von einfachem Blödsinn sondern verletze ich tatsächlich grundlegender Anforderung an Sicherheit in Unternehmenstrukturen, in Netzen, in Beschaffungsstrukture, in Lieferketten usw.

00:31:47: Und dann sind wir nur Das weiß Dirk als Gesellschaftsrechtler besser als ich.

00:31:51: Eine Hand breit davon entfernt, dass die D&O-Polize an solches Handeln des Vorstandes gar nicht mehr abdecken würde.

00:31:59: Das heißt da geht es dann tatsächlich um der Oma ihr Kleinhäuschen im Falle das sich ein solches Risiko dafür wirkt.

00:32:15: Komplexität steigt bis zum geht nicht mehr, wie wir hier tatsächlich sehen.

00:32:19: Die Frage was ist die Verkehrssicherungspflicht?

00:32:21: Die Anforderung steigt und wir werden am Ende des Tages sehen dass mit zunehmender Komplexkeit die Anforderungen an die Unternehmen steigen.

00:32:31: Die Unternehmen damit ein gewisse Grenzen heran stoßen und in der letzten Konsequenz ein Geschäftsführer eines Unternehmens sich dazu entscheiden muss.

00:32:41: kann ich diesen Weg noch mitgehen?

00:32:42: will ich diesen weg nach mit gehen auch mit vor dem Hintergrund eines eigenen persönlichen Risikos.

00:32:47: Oder muss ich am Ende des Tages entscheiden, das Geschäftsmodell meiner Gesellschaft zu verändern?

00:32:52: Weil die sich mit meinem aktuellen Geschäfts-Modell verbundenen Risiken schlichtweg einfach zu groß sind – die Verkehrsanforderungen und die Verkehrssicherungsfläche der Stand der Technik viel zu hohe Anforderung stellt, die ich tatsächlich nicht mehr bedient

00:33:07: habe.".

00:33:08: Am Ende des Tages wird es ein bottleneck, durch das im Zweifel noch die großen Durchkommen, die die entsprechenden Ressourcen haben oder aufgrund ihrer finanziellen Kraft die entsprechende Ressource einkaufen können.

00:33:19: Da würde ich gern kurz eingrätchen wenn ich darf!

00:33:21: Ich habe ein schönes Beispiel von einem Solarpark-Betreiber oder Errichter und da sind zwei Brüder, die Geschäftsführer.

00:33:29: Und der eine Geschäftsführer ist... Sie haben bis jetzt immer Huawei verbaut, Huawei Wechselrichter, Huawei SmartLocker und Huawei Trafo.

00:33:38: Super schön einfach stehe ich auch dahinter und der andere Bruder Geschäftsführer sagt da kann ich nicht mehr mitmachen weil wir als Geschäftsführer haben ja auch die Verantwortung und die beiden sind im Streit und das finde ich ein super Beispiel weil du das gerade sagst.

00:33:52: Ich gebe mich dem anderen Bruder recht.

00:33:54: er sagt wir müssen uns umdenken.

00:33:58: wir müssen bisschen Zeit investieren anderen Hersteller auswählen, vielleicht eine Mischung aus Herstellern auswählt um dieses Risiko einfach zu reduzieren.

00:34:06: Und daher finde ich das

00:34:07: gut

00:34:08: dass die EU diese Regelungen in der NIS II bringt, dass du als Geschäftsführer hier mit in der Haftung bist wenn du dein Park zu lapsig auslegst und nicht auf Sicherheit achtest.

00:34:19: aber gerne eure Meinung dazu.

00:34:21: Da komme ich in den Supply.

00:34:23: Es ist natürlich ein enormer Eingriff in die Rentabilität von solchen Wirtschaftsprozessen.

00:34:29: Das muss man einfach sehen Je dünner die Marge, also wenn ich mir jetzt vorstelle wir haben tatsächlich einen funktionierenden Energiemarkt durch fast ein Überangebot insbesondere an erneuerbaren Energieressourcen.

00:34:42: Dann weiß ich auch dass die Umsatzrendite nicht gerade vierundzwanzig Prozent ist sondern die liegt so irgendwie bei vier bis sechs Prozent.

00:34:49: das heißt jeder Cent der dort kostenmäßig gespart werden kann den werde ich als Geschäftsführer versuchen zu sparen.

00:35:01: der Anreiz an diese Geschichte.

00:35:03: Und die Schwierigkeit ist eben genau die, und da kommen hoffentlich Unternehmen wieder auch im Beratungsgeschäft unterwegs sind dazu dass sie sagen liebes Unternehmen ich will ja nichts verkaufen in erster Linie sondern ich will mit dir eine Partnerschaft in Sicherheit haben.

00:35:20: Ich will mit dir tatsächlich über die Strecke gehen, wie wir in den nächsten fünf Jahren sukzessive in der Beschaffung, in dem Maintenance, in der Wahl des Softwarekomponenten.

00:35:30: In der Wahl der Netzegmentierung

00:35:32: usw.,

00:35:33: Stück für Stück die Angreifbarkeit und die Risikoexposition zurückdrehen – und zwar so dass es nach deinem Rendite-Modell auch wirklich finanzierbar ist!

00:35:43: Dass wir haben dieses Problem infast allen Bereichen, wo ich relativ marschenschwach unterwegs bin.

00:35:50: Das ist Automobilzulieferindustrie und das ist zum Beispiel das gesamte Gesundheitswesen.

00:35:55: Da kann ich schlecht kommen und sagen ihr müsstet eigentlich vier Prozent bis sechs Prozent des Umsatzes als IT-Kosten und damit auch als IT Sicherheitsbudget zugrunde legen.

00:36:06: Dann sage ich wunderbar was mache ich mit zwei Prozent?

00:36:10: Und da kommt tatsächlich die Kompetenz von Unternehmen in Spiel, die tatsächlich in der Lage sind nicht nur ein Produkt zu verkaufen sondern tatsächlich die Prozesse des Unternehmens den sie als Kunden haben wollen.

00:36:22: Zu verstehen und für denen einen wirklich angepassten System der sukzessiven Verbesserung und Weiterentwicklung von Sicherheitsprofilen zum Tragen.

00:36:34: Berner deine Worte bringen mich auf ein wunderbares Beispiel zu sprechen was mit Energie überhaupt nichts zu tun hat.

00:36:41: Eines meiner ersten Autos ist ein Mini gewesen.

00:36:44: Und ich habe mal mit meinem Vertreter von Mini geschworen, wo das Leute?

00:36:47: wie könnt ihr eigentlich einen mini bauen in der Größe?

00:36:50: Wir heute ist da kriegs'n alten locker rein!

00:36:53: Aber die Antwort, die ich bekommen habe war ganz einfach... wir können einen Mini in der Grösse, wie er in den siebziger, achtziger Jahren gebaut worden ist gar nicht mehr bauen Weil die gesetzlichen Vorgaben für Automobiler heute so sind, dass wir die Mindestechnik, die wir dort verbauen müssen auf der Bodenplatte eines alten Benis gar nicht mehr unterkriegen.

00:37:15: Und genau das denke ich ist auch hier in unserem Bereich der Fall.

00:37:19: Wenn die Vorgaben des Gesetzgebers so sind, wie sie sind – dass wir Resilienzen herstellen, dass wir Cybersecurity herstellen?

00:37:26: Dass die Anforderungen größer werden?

00:37:29: Dann wird das am Ende des Tages zu dem notwendigen Innovationsschub führen müssen damit auch unter diesen gestiegenen Voraussetzungen immer noch machbar ist, dass für die Marktakteure interessanter Renditen erwirtschaftet werden können dass das am Ende des Tages dazu führt, dass wir eine Marktmereinigung dabei sehen werden.

00:37:48: Dass Player die heute da sind vom Markt verschwinden werden.

00:37:52: Da wird es Leute geben, die werden sagen Das ist Marktwirtschaft.

00:37:56: Ja, das ist ein guter Punkt Dirk.

00:37:59: Ich würde mir wünschen, dass die Industrie oder die Anbieter von Lösungen, dass sie tatsächlich auch deutlich aktiver auf den Regulierer zugehen und sagen an der Stelle Überzieht ja technisch, aber wir haben ein besseres Modell.

00:38:17: Wie wäre es damit?

00:38:19: Wir brauchen unbedingt eine solche dialogische Kommunikation zwischen Regulierer und den Akteuren die tatsächlich top notch Sicherheitstechnologie in dem Bereich liefern.

00:38:30: Da kann ich aber kurz mal einen sekretischen Beruhigen.

00:38:32: genau das passiert sogar momentan.

00:38:34: Wir sind eingeladen und sind auch im Dialog und präsentieren unsere Lösungen dann auch in diesen Gruppen.

00:38:41: Und das findet schon starken Anklang, weil gewusst wird dass man da unter Umständen doch eher überzogen hat als technisch realisierbar in diesem Zeitfenster das zu setzen ist.

00:38:53: Ja es ist einfach schwierig.

00:38:54: wir haben die ersten Versuche gehabt mit den Branchenarbeitskreisen beim BSI.

00:38:59: Das war der erste Schritt wo tatsächlich mal eine Aufsichtsbehörde Unternehmen einlädt, die in dem Bereich tätig sind.

00:39:06: Und jetzt haben wir dort im Morgenarbeitskreise für jedes Segment von Gesundheit bis Energie, dass wir dieses Know-how in der Tag auch zurückspielen.

00:39:15: zum Regulierer.

00:39:17: Das war vorher komplett ungewohnt.

00:39:21: Hat man gar nicht gemacht.

00:39:22: Warum auch?

00:39:23: Ich würde gerne vielleicht noch rein, weil ihr immer wieder die Kosten angesprochen habt und das ist natürlich eine Gefahr, dass es durch weitere Regulatorien immer teurer wird.

00:39:31: Wir haben unseren Wechselrichter auch aus China Sonst wären wir mit den Kosten zu teuer, aber eben nur die dumme Technik.

00:39:38: Wir setzen die Intelligenz rein und prüfen, dass keine versteckten Antennen sind.

00:39:42: Von uns kommt der Locker oder die intelligente Steuerung aus Deutschland und dann kommt vielleicht noch ein Trafohersteller, den man aus Spanien oder sonst was nimmt.

00:39:52: Dann ist man als Endkunde auch nicht teurer wenn man es gut auslegt.

00:39:56: Das ist mit der chinesischen Hauerweilösung.

00:39:58: Jetzt möchte ich nur mal fair im Raum sagen, ein bisschen Hirn- und Schmalz, bisschen Kopf muss man reinstellen.

00:40:02: Man braucht ein paar Monate um sein System umzubauen.

00:40:06: aber es muss nicht zwangsläufig heißen Ich bin dann... ...zwanzig Prozent, dreißig Prozent teurer und nicht mehr wirtschaftlich.

00:40:11: das

00:40:12: gibt

00:40:12: die Lösung.

00:40:13: Und da pushe ich ein bisschen und sag Leute macht's euch nicht zu leicht und sagt immer nur böse EU Sondern sucht nach Lösungen.

00:40:21: ihr findet vielleicht auch welche.

00:40:22: Ich will euch nicht widersprechen.

00:40:23: Aber ich sage nur, dass gibt's als Möglichkeit

00:40:26: Was ja dann bedeutet, dass die Beschaffung eigentlich nicht komplexer wird?

00:40:30: Sie verändert sich ein bisschen.

00:40:32: Aber sie wird nicht komplekter.

00:40:33: Ich bekomme mit Meditänerei und ich muss halt schauen was muss ich wirklich beachten.

00:40:38: Und dabei was ist Herstellerpflicht, was ist Betreiberpflicht?

00:40:41: das muss ich so ein bisschen mehr in die Beschäftigung mit reinziehen.

00:40:44: Ich muss mir genauer anschauen, mit welchen Herstellern ich zusammen arbeite, was bieten diese Möglichkeiten, welche Cybersecurity-Anforderungen werden erfüllt?

00:40:53: sind sie nis zwei kompatibel, sind die gegebenenfalls kritis kompatible etc.

00:40:58: pp und das ganze kann ich ja auch vertraglich absichern.

00:41:03: Herr Bachmann das geht dann wieder in ihre Richtung auch dirk in deine richtung.

00:41:07: welche punkte gehören denn dann zukünftig in Verträge rein?

00:41:11: also als software nutzer und einer meiner brüder ist auch in der it unterwegs und er sagt mir mit der kauf die händis danach wie lang sie software update bekommen Und dann wird nicht jedes Jahr ein neues Handy gekauft, sondern alle paar Jahre nur.

00:41:24: Was gehört da also rein?

00:41:26: In so einen Vertrag zukünftig.

00:41:28: Da gehört im Grunde folgendes rein.

00:41:32: Jeder der in einem Kochbuch wie kaufe ich richtig reinguckt oder in ein Formularhandbuch wird finden dass solche Beschaffungsvorgänge vergleichsweise simpel sind.

00:41:44: Geld gegen Warepunkt.

00:41:47: Also was wir brauchen ist tatsächlich ein gewisses verändertes Mindset zu verstehen, ist das was Rehersteller für mich als Kunde bringen und wo wir sie wichtig sind.

00:41:59: Ist eine Partnerschaft über Zeit.

00:42:01: Das heißt der Einsatz dieser Technologie in meinen Infrastrukturen ist tatsächlich ja als ein Joint Adventure zu verstehen also einen Kooperationssystem.

00:42:13: Das heisst dass es die entscheidende Frage wie wir wie wir in der Sicherheitskommunikation und die Sicherheitskooperation über die wirtschaftliche Dauer des Einsatzes dieser Technologie, wie wir dort zusammenarbeiten wollen.

00:42:27: Wie wird dort die Inkremente auch der Produktverbesserung der Weiterentwicklung des Renewals von Technologien?

00:42:32: Wie war das entsprechend abbilden wollen?

00:42:35: Das ist ein bisschen Hirnschmalz was ich dafür brauche aber das ist exakt der entscheidende Teil der die Beschaffung über den Träsen Geld gegen Ware gegen Schlaues Procurement unterscheidet.

00:42:49: Das ist, glaube ich, der entscheidende Punkt um den es geht.

00:42:52: und es gibt noch einen weiteren wichtigen Punkt und er geht ein bisschen entdeht das Business was Dirk auch vielfach betreibt nämlich Unternehmenskäufe.

00:43:02: wenn sie dort schauen wie Investitionen in Unternehmen geprüft werden also diese vorlaufenden due diligence und what not Prüfungen die da gemacht werden dann werden Sie sehen, dass genau diese Frage der Bestandssicherung und der Betriebsexposition in der Regel gar keine Rolle spielen.

00:43:24: Während das eigentlich für das Business ist es mindestens so wichtig wie die Frage wieder im Markt sich entwickelt, wie stabil das Unternehmen dann im Hinblick auf Resilienz ist?

00:43:37: Was ist denn da tatsächlich an Technologie?

00:43:40: Was ist dann tatsächlich da ein Erprobenverfahren und wie hat man das eigentlich überprüft und getestet.

00:43:45: Und es ist natürlich mehr Aufwand, mehr Hirnschmalz als nur den Anwalt im ersten Lehrjahr hinzuschicken und zu sagen jetzt schau dir mal die drei Unsubskartons durch weil das eine wirklich gründliche Analyse des gesamten Modells des gesamten Absatz- und Vertriebsmodells, und der gesamte Zulieferkette erfordern würden.

00:44:09: Das halte ich aber für den entscheidenden Punkt wenn wir tatsächlich auch in dem M&E Bereich in der Frage wie eine gute Investition sich von einer lausigen Investition unterscheidet hinkommen müssen.

00:44:21: Bisher sind wir da noch längst nicht da.

00:44:23: Also um dir vielleicht ergänzend mit anzufügen auch die eine Ausgangsfrage Michael was hat denn Verträgen zu passieren?

00:44:30: Wir haben tatsächlich jetzt festgestellt im

00:44:34: Rahmen eines

00:44:35: Beratungsmandates, dass bereits andere europäische Länder dabei sind für die NETZERI Industrial Act Durchführungsverordnung zu erlassen und in ihren Ländern für ihre Märkte konkret festzuschreiben in den Durchführungsoordnungen wie vertragliche Resilienzklauseln auszusehen haben.

00:44:58: Nehmt dem Thema, dass Ortes vorgesehen werden müssen.

00:45:02: Das bestimmte Vorgaben für Komponenteile gemacht werden auch die Verpflichtung das mein Vertragspartner wiederum dazu verpflichtet ist gleiche Rechte im Minimum an seine Sub-Subunternehmerweite zu geben, im Rahmen der Lieferkette.

00:45:19: So dass im Grunde genommen diese Resilienzanforderung inklusive der Orders wirklich die Gesamt an sämtlichen Playern der lieferanten Kette wiederzufinden sind Und ich hier als Endnutzer die Möglichkeit habe, allein aufgrund der Orders die ganze Lieferkette durchzugehen und festzustellen sind die Resilienzanforderungen tatsächlich erfüllt ja oder nein.

00:45:41: Das gilt insbesondere im Bereich erneuerbarer Energien in diesem EU-Land was uns doch sehr erstaunt hat da es nach unserem Kenntnisstand Vergleichbares zumindest in Deutschland nicht gibt.

00:45:55: Schon spannend dass andere Länder mal wieder uns voraus sind Was uns aber nicht davon abhalten sollte, natürlich auch zu schauen.

00:46:02: Okay was für Auswirkungen hat das dann zukünftig auf die Finanzierung?

00:46:07: Weil wenn eine entsprechende Residenz oder eine entsprechend lange Verfügbarkeit von zum Beispiel Clouddiensten gar nicht gegeben ist und das würde jetzt für mich ein Einkaufsposition da einfach mal mit reinziehen fließen wie lang bietet der Hersteller denn überhaupt das Ganze an?

00:46:22: Also vielleicht um da eine Zahl vorne wegzugeben, die ich in Vorbereitung auf die Inhalte und Diskussionen im Industrial Accelerator Act gesehen habe.

00:46:33: Dort gibt es auf der europäischen Ebene Zahlen, die das sagen, wenn diese Regelung um jetzt gegen Entwurf umgesetzt wird, werden die Produktions- und damit den Verkaufskostraum ca.

00:46:42: zwanzig bis fünfundzwanzig Prozent steigen.

00:46:44: Und sieb bis fünfundzwanziger Prozent?

00:46:45: Das verdammt viel!

00:46:47: Tilo, ich glaube wir machen da was falsch oder?

00:46:49: Weil ich meine wir unterstützen unsere Produkte jetzt seit dem nächsten über zwanzig Jahren in unserem Ecosystem.

00:46:54: Sie werden quasi die neusten Cloud Applikation noch mit umgezogen.

00:46:58: Ich glaube dann müssen wir uns vielleicht so ein bisschen beispült nehmen.

00:47:01: Pumpt war eigentlich so ein bischen in den Abschuss rein.

00:47:03: und wenn ich jetzt mal sage okay... In die Zukunft reingesehen.

00:47:10: technische Maßnahmen vertragliche Maßnahmen die einen Betreiber prüfen sollte seine Anlagen für die Investitionen, die er vielleicht noch im Laufe dieses Jahres oder nächsten Jahres macht.

00:47:24: Was zählt da mit dazu?

00:47:29: Aus unserer Sicht kasselt auf jeden Fall die Verfügbarkeit dazu – ich meine wir unterstützen wie gesagt immer noch unsere erste Generation von Beckserrichtern im Monitorium und dem Controlling.

00:47:39: Dass jetzt natürlich die Spareparts nicht mehr zur Verfügung stehen, ich glaube das ist jetzt jedem klar.

00:47:44: Das nach zwanzig Jahren kriegt man weder die Bauteile noch die Platinen.

00:47:48: Wichtig ist da schon ein Ersatzgerät bereitzustellen um jetzt nicht die ganze Anlage zu erneuern.

00:47:54: Da sind wir wieder beim Strichwort Repowering und ich sage mal, dass wir sprechen, dass auch die nächsten zehn bis zwanziger Jahre unsere Systeme und Geräte weiter supporten werden.

00:48:05: Momentan muss ich versprechen, aber jetzt haben wir unsere Versprechen auch nicht gebrochen.

00:48:09: Wenn das jetzt zum Kunde sagen würde, dass müssen wir jetzt im Vertragsfest halten.

00:48:13: Da hätte ich jetzt wenig Bauchschmerzen.

00:48:14: Das sind wir dann wieder beim Punkt.

00:48:16: wie der Dirk schon gesagt hat, es kostet dann einfach.

00:48:19: Man kann alles versprechen man kann alles realisieren und am Ende des Tages ist es ja wirklich nur eine Budgetfrage.

00:48:25: Ja Bachmann!

00:48:25: Wollen wir jetzt nochmal in Ihren Bereich reingehen?

00:48:28: Governance Rechtsmaßnahmen für Management und Betreiber aus IT-Sicherheitssicht Was sollten die auf jeden

00:48:56: Fall jetzt tun?

00:49:05: in der Maintenance, in der operative Steuerung, in den Absatzketten gesprochen.

00:49:09: Das ist klar.

00:49:10: aber wir brauchen und das ist der entscheidende Punkt ich brauche tatsächlich ein erprobtes Verfahren.

00:49:16: was macht es Unternehmen im Fall der Fälle?

00:49:19: Wenn es offline geht wenn es nicht zur Verfügung steht wenn wir solche Attacken haben when-when-when.

00:49:28: Das klingt relativ trivial Unternehmen, je moderner und je flacher die Rechnien umzuschwerer umzusetzen.

00:49:37: Weil ich dann plötzlich etwas brauche was man normalerweise nur bei der freiwilligen Feuerwehr wurde beim Katastrophenschuss lernt.

00:49:45: Nämlich die Einrichtung eines Leitstandes in einer Situation die nicht geplant werden konnte, die das Unplanbare darstellt.

00:49:57: Handlungsfähig zu sein und Stück für Stück dieses Disaster entsprechend zu managen, mit internen Ressourcen wie auch extern.

00:50:04: Das kann man nicht am grünen Tisch kaufen oder sich ins Regal legen.

00:50:10: ich muss das erproben Ich muss das tatsächlich machen und es ist in der Tat kein Scherz sondern die Unternehmen die das Glück hatten dass ihr Betriebsleiter Feuerwehr Hauptmann bei seiner freiwilligen Feuerwehr im Dorfe war.

00:50:25: Dass das dann für die ein Glücksfall war weil der Mann wusste was man macht, wenn ein Notfall eintritt.

00:50:31: Wie ein Leitstand funktioniert?

00:50:33: Welche Informationen, Kommunikationen welche Ressourcen welcher Strukturen, welche Abläufe dort eingerichtet werden müssen damit das Unternehmen tatsächlich nicht in Panik in alle Windel läuft sondern tatsächlich handlungsfähig bleibt.

00:50:46: Das ist fast das Entscheidungs an diesem ganzen Thema.

00:50:50: Natürlich gehören auch gehört ein gutes Netz von IT-Forensikunternehmen und anderen dazu mit denen man erprobte Partnerschaften hat.

00:51:00: Weil ich dann, also beispielsweise negativ folie Crowdstrike ein Cloud-Unternehmen das in allen drei Zeitzonen der Welt unterwegs ist und ihn versichert so auch bei dem Windparkbetreiber mit dem ich es zu tun hatte dort die Überwachung sämtlicher Vorfälle durch sein seine Cloud-Systeme dann da entsprechend angeboten hat und für sauteuer Geld auch verkauft hat.

00:51:28: Aber das sind die, die wenn es...wenn das Problem da ist eben nicht vor Ort sind weil dann habe ich keine Kommunikation mehr, dann hab' ich kein Internet mehr, kein sonstwas.

00:51:39: Dann kann ich zwar noch versuchen einen zu finden der dann über ...und jetzt nicht lachen über Mobiltelefone versucht eine Art Hockverbindung für diese Unternehmen aufzubauen und einen Jump-Host einzurichten, damit dann von Ferne irgendwo auf Unternehmensnetze zugegriffen werden können.

00:51:57: Aber das ist mit Verlaub ein echter Scheiß!

00:52:00: Ich brauche tatsächlich Leute die dann vor Ort sind Und die dürfen nicht erst aus Bangalore eingeflogen werden oder sonst so Sondern sie müssen tatsächlich innerhalb von vierundzwanzig Stunden dort auf der Matte stehen Und in der Analytik helfen diese Probleme auch zu fixen.

00:52:19: selber war ich über viele Jahre in der Freiwilligen Feuerwehr unterwegs.

00:52:23: Ich finde die Werbung dafür sehr, sehr gut weil ich kann das nur eins zu eins beschreiben aus den Ausbildungen, die auch an einer hessischen Landesfeuerschule

00:52:28: genießen durfte.

00:52:30: ja man lehrt mit Notfällen umzugehen und man lernt Führungsstrukturen aufzubauen wo keine Führung mehr existiert.

00:52:37: gerade Und die ersten dreißig Minuten sind Chaos.

00:52:41: danach beginnt die Ordnung.

00:52:43: wenn ein Energieunternehmen oder ein Netzbetreiber vom Downtime hat, weil seine IT-Systeme kompromittiert sind und dass sie abschalten muss, weil er gar nicht weiß wie die Situation ist.

00:52:57: Dann gehen alle in Deckung!

00:53:00: Und die erste Reaktion ist hoffentlich habe ich nichts falsch gemacht... ...und wenn ich was Blödes gemacht habe versuche ich das noch zu bereinigen damit später nicht aufgedeckt wird, dass sich möglicherweise etwas Blöses gemacht haben.

00:53:11: Das sind alles Verhaltensweisen, die menschlich verständlich sind, auch nachvollziehbar sind dem Fall der Fälle überhaupt nicht helfen.

00:53:22: Sie brauchen tatsächlich den Menschen, der auf ihrer Feuerwehrschule war und sagen kann, okay stopp was machen wir jetzt?

00:53:28: Wie ist die Lage?

00:53:29: Welche Ressourcen habe ich?

00:53:30: Welches Ressousten brauche ich?

00:53:32: Wer spricht mit wem?

00:53:33: Wer organisiert

00:53:34: etwas?".

00:53:35: Ich würde sagen dieses Loblied auf das Ehrenamt in Deutschland in der Deutschen Feuerwehr ist ein gelungenes Schlusswort!

00:53:41: Und wer applaudieren an alle Feuerwehre Frauen und Männer Die, wenn sie eines Tages sagen, körperlich ist der Feuerwehreinsatz für mich zu viel sich an anderer Stelle zu engagieren und ihr Notfallmanagement was wir von der PIKA auf gelernt haben dort zu unser aller Wohl einzusetzen.