Cybersecurity in der PV: Wer kontrolliert Anlagen und Daten?

00:00:01: Wie wir letztens mal sprachen, hast du mir erzielt wie viele Tausend Angriffe deine Server am Tag so abbekommen.

00:00:08: Was sollte denn den Geschäftsführer seinem IT-Verantwortlichen mit auf den Weg geben?

00:00:13: Naja also die meisten für IT-Vereinwohner sind von nine to five bei der Arbeit.

00:00:19: aber die Angriffen passieren natürlich nicht dann wenn der hoch Betrieb ist oder genau dann wenn das sich erwartet.

00:00:26: Also Die SARA so IT-Sicherheit beginnt da, wenn die Wasserkeit da ist.

00:00:31: Und auch vor allem das Verständnis dafür da ist, dass jedes System was Menschen erschaffen worden ist oder natürlich auch manipulierbar gehackt werden kann oder irgendwas in die Richtung.

00:00:42: Deswegen wachsam sein Vor allen Dingen auch für sich selber den Notfallplan nicht irgendwo in der Schublade haben sondern auch tatsächlich im Zweisfall auch immer leben Auch wenn mal der Geschäftsführer vielleicht einen Tag in einem halben Tag vielleicht keine E-Mails hat, sondern auch gucken, dass meine Notfallszenei auch funktionieren.

00:01:02: Ja, aus so Standard Sachen wie Multifaktor-Authentifizierung.

00:01:05: Ich verstehe das immer noch nicht!

00:01:06: Das mache ich unternehmend, das immer nur mich haben... Also es geht mir nicht den Schädel einfach an.

00:01:11: Ich kann das nicht

00:01:12: verstehen.

00:01:12: Das kann man mittlerweile eigentlich so ziemlich vom Singer kauen

00:01:16: ist....

00:01:17: Zu

00:01:17: Microsoft-Dreifem-Sechtsich kann ich das immer irgendwie einrichten, dass ich eine Multifaktor-Identifizierung habe und in manchen Unternehmen haben es da nicht.

00:01:24: Und ich höre dann immer noch als Ausnahme hat der Geschäftsführer oder der CFO den?

00:01:29: ist das zu

00:01:29: viel.".

00:01:31: Der Vorstand der Geschäftstürer muss Vorsorge gegen bestandsgefährdende Risiken des Unternehmens treffen.

00:01:35: Das heißt er muss wissen welches Risiko besteht?

00:01:38: Er muss wissen wie ist das Manager?

00:01:39: und wenn das nicht weiß musste sich das entsprechend nur Hau holen unter das nötige Personal.

00:01:48: Die Daten liegen in der Cloud, ein Dienstleister kümmert sich.

00:01:51: Das klingt erst mal beruhigend!

00:01:52: Aber was passiert wenn der Zugriff plötzlich weg ist?

00:01:55: Wer kann dann noch handeln und werkt direkt die Verantwortung?

00:01:58: Darüber spreche ich gemeinsam mit Doug Focus unter Gästen, die diese

00:02:01: Fragen

00:02:02: aus ihrer täglichen Arbeit kennen.

00:02:04: Tim Schulze Geschäftsführer von OpenIT kennt die Infrastruktur hinter dem Unternehmen und die Abhängigkeiten dem Alltag oft um sichtbar bleiben.

00:02:11: Sven Bartsch, Diplom-Wirtschaftsinformatiker und Geschäftsführendagsehlschafter von Secure Data berät Unternehmen vom kleinen Betrieb im internationalen Kreteskonzern zur Datenschutz- und Informationssicherheit.

00:02:21: Er weiß, wie groß die Lücke zwischen einem Sicherheitskonzept unter gelebtem Praxis wirklich sein kann.

00:02:26: Ergänzt um Werner Bachmann Partner der Wirtschaftskanzlei Gannerkuch, der seit deinerzeit neunzehnhundert achtundneinzig im Technologiebereich tätig ist.

00:02:33: er betleitet Unternehmen bei Cybervorfällen und dem Krisenmanagement also dann wenn aus einem IT Problem eine Frage des Unternehmerischen überlebens werden kann.

00:02:41: Mit ihnen wollen wir klären, wie viele Kontrolle haben Unternehmen tatsächlich über ein Systeme und woran lässt sich erkennen ob sie auch auf einen Ausfall wirklich vorbereitet sind.

00:02:50: Ich bin Michael Nödingen und wünsche Ihnen gute Gedanken neue Blickwinkel und Impulse die Sie in Ihren Alltag mitnehmen können Und dementsprechend starten wieder einfach mal relativ praktisch mit so einer schönen klassischen Frage Woran erkennt man?

00:03:03: ob ein Unternehmen eine digitale Kontrolle hat und sie im Griff hat oder nur glaubt sie zu haben?

00:03:10: Tim Die Bühne ist deins.

00:03:12: Ich glaube, die Frage ist noch, die ich mir mal stellt würde, bin ich vor Ort eingeladen und dann muss ich es erst dann machen?

00:03:17: Du merkst ja in vieler der Hinsicht wie Unternehmen agieren wenn du einmal im Geschäftsführer sprichst.

00:03:23: Normalfall hast du ja auf dieser Ebene, wenn du im Drahtonsgespräch reingehst, relativ schnell die Sicht oder die Front eines Geschäftsführers oder dem gegenüber eines IT-Leiters, die entweder Fragen vor dir stehen Wenn es heißt, ja habt ihr irgendwie an die Viosoftware, habt ihr eine Verstüßlung?

00:03:39: Habt ihr irgendetwas in der Art und da begegnet ihr erst mal ein.

00:03:43: ich muss mal gucken.

00:03:43: Ich weiß es nicht genau.

00:03:45: also in vielerlei Hinsicht ist sich glaube ich die Kette was an Zulieferern oder auch an Software meistens.

00:03:50: da ist mir erst im Moment per sie gar nicht präsent außer vielleicht eventuell ne Form einer Rechnung.

00:03:54: man weiß auf meistes nicht was das genau bedeutet und man weiß auch nicht genau ob's funktioniert und dass sehr auch das Thema wieder.

00:04:02: Technische organisatorische Maßnahmen, viele machen Copy-Paste.

00:04:05: Ob es wirklich so ist weiß keiner.

00:04:07: und im Datenschutz ich glaube das kann Sven auch zustimmen Es wird viel geschrieben aber wenig kontrolliert oder in die Verantwortung nachher gelegt, gesagt okay interessiert mich nicht.

00:04:18: Das trifft ja dann gleich mehr reden und ich brauche auf der einen Seite die Hardware und ich brauch auch auf der anderen Seite die Software ergänzt um verschiedene Dokumentationen dabei.

00:04:27: Es gibt also ein richtig schönes fibrides Szenario was wenn ich dich jetzt richtig interpretiere oftmals das totale Chaos gibt obwohl man eigentlich Kopienpaste macht und dachte es wäre vernünftig.

00:04:37: Wenn wir das mal so ein bisschen konkretisieren auf die erneuerbare Energien und sagen ok wir gucken uns jetzt mal Firmware Sachen an, Updates, Identitäts- und Thematiken, Fernwartung, Schlüssel, Klauzugriffe.

00:04:50: Wie kann ich das

00:04:52: unterbringen?

00:05:02: Wie offene, ja wie offene Router in der Wogegend.

00:05:06: Da kümmert sich keiner drum.

00:05:07: das wird einmal verbaut in der Hoffnung ist funktioniert und das Ding überträgt irgendwie noch ein paar Leistungsdaten.

00:05:12: und zwar kann der Hersteller noch Firmwarealt einspielen Und wenn ich ganz faul bin, habe ich eine Anwendung zum Hersteller.

00:05:19: Also nimm mal beispielsweise Sankro und ich kriege die Firmware so mit schön überspielt oder kann die Sicherheitslücken ausspielen.

00:05:26: Paradebeispiel würde das bedeuten?

00:05:28: im Schluss was deine Fragestellung ist?

00:05:30: Ist generell Hardware mit Software beherrschbar?

00:05:33: Oder ist die Hardware das Problem oder die Software das Problem?

00:05:36: Ich glaube es ist ein Sammspiel aus Schielerlei Komponenten.

00:05:39: also sicherlich mein Firmennetzwerk versuche ich mir nach Firewall zu schützen Solarpark investiere ich in so ein Router, zwei Euro.

00:05:48: Und dann hoffe ich das in den zehn Jahre, fünfzehn Jahre bei Wind- und Wetterbedingungen Außentemperaturen und so weiter funktioniert.

00:05:53: Da ist dann Haken dran und der Aufdruck gehe ich einmal im Jahr vorbei vielleicht reinige ich die Module noch im Großen Ganzen oder ich hofft dass der Wechselrechter deine zwanzig Jahre hält oder Hersteller die Garantie geben hat.

00:06:03: Dann fasse ich das Ding auch nicht mehr an.

00:06:04: also warum wir euch die Firmware update machen?

00:06:06: Das ist ja...das ist die Haltung.

00:06:08: So kenne ich das jetzt seit über fast achtzehn Jahren In dem PV Bereich, das interessiert kein mehr verbauen funktionieren.

00:06:14: wenn nichts ausfällt, das Ding schön die Leistung bringt, dies bringen soll, kümmert er sich auch keiner mehr drum.

00:06:20: Und das ist genau der Punkt warum jetzt solche Panik passiert in den Wechselrichter nicht?

00:06:24: Weil in St.

00:06:24: Crobytes einer wo jetzt halt akut was war.

00:06:27: es gab aber genauso Dehe Wechselrichter in den USA, die von Fremoud die Singer abgeschaltet haben.

00:06:32: Von der Ferne deaktiviert haben ja?

00:06:34: Es ist immer die Frage, wer die Hardware ist der eine Komponent und da kommt die Software Und wer bei der Software am Ende des Tages den Signaturschlüsseln geahnt hält Der hat die Kontrollen über das Gerät.

00:06:45: Die Frage ist wie sichere ich mein Gerät vor Einflüssen von außen ab?

00:06:49: Also lasse ich meinen Netzwerk hier mal rein.

00:06:51: Lass dich das kreatfreie Kommunikation untertouillis nicht

00:06:54: Da würden wir später auch mal richtig tief drin eintauchen.

00:06:57: Vorher würde mich aber die Perspektive von Sven dazu interessieren, wo in diesen hybriden Thematiken eigentlich so aus seiner Sicht diese blinden Flecken technisch wie auch insbesondere organisatorisch sind?

00:07:10: Also gerade mit einer Eingangsfrage!

00:07:11: Also, wie sehe ich das bei so einem Unternehmen?

00:07:14: Also erstens erwarte ich immer gar nichts mehr.

00:07:16: Habe ich schon festgestellt und setzlich gucken wir mich dann mal an wenn ich sage also in Istanbul nicht machen weil ich weiß eigentlich da ist nichts Wenn ich dann wirklich angenehm überrascht werde, dass doch was ist, dann ist das immer nur wenn in Teilbereichen.

00:07:29: Also es sind gewisse Mitarbeiter und da sind wir schon beim größten Thema Mitarbeiter die das A und O eigentlich sind.

00:07:36: Das ist so wie gerade der Tim erzählt habe.

00:07:38: Wenn ich einen guten Artiller hab, der seinen Handwerk versteht, dann sind wir mal ziemlich weit.

00:07:42: Und wenn ich zum Beispiel auf eine Webseite gehe um mir befreut, dass Unternehmen überhaupt mal betreet oder mit denen rede.

00:07:50: Das ist nicht richtig, was die da machen.

00:07:52: Datenschutz ist schon schlecht.

00:07:53: Das Impressum ist vielleicht noch verkehrt.

00:07:55: wie auch immer oder wenn ich ein Unternehmen betrete und der Empfang nicht vernünftig besetzt ist und ich irgendwo reintapern kann ohne dass es irgendjemand interessiert allein mal zu schauen wie weit ich denn komme dann sehe ich immer wieder das letztendlich den Mitarbeiter.

00:08:08: das größte Problem

00:08:09: ist

00:08:10: Also heutzutage ich selber, ich würde niemals technologisch, glaube ich, ein Unternehmen angreifen.

00:08:15: Wenn wir immer auf die Bewerbungsseite des Unternehmens gehen, würde mir eine gute Stellereihe raussuchen, die gut auf mich passt und mir mit Karrieren entsprechende Bewerbungsunterlagen zusammenstellen lassen, mich dort bewerben, höchstwahrscheinlich angestellt werden.

00:08:26: Und dann würde ich letztendlich für die Kompromittierung des gesamten Unternehms noch gut bezahlt werden.

00:08:31: Wo sehe ich das?

00:08:32: Für die Webseite ist es aus Marketing schuld!

00:08:39: sind halt immer unterschiedlichste Leute, die da mit dabei sind.

00:08:42: Das hab ich's wiedlich ganz oft.

00:08:43: In dieser Teilbereiche bin ich froh, gerade wenn ich gute Leute hier habe und das ist ja leider das Thema schon.

00:08:51: Gute, fachlich gute Leute da draußen gerade jetzt auf der kleinen Unternehmung.

00:08:55: Früher war das nicht so das Thema, da hat jeder irgendwie jemand ja bekommen.

00:08:59: Aber heutzutage, früher hieß es wir gehen in die Cloud.

00:09:01: Da hab ich selber noch als IT-ler gesagt Boßnächen, ne?

00:09:04: Da wissen wir gar nicht unsere Daten bleiben und so weiter.

00:09:06: Heutzutag empfehle ich schon bei so einer gewissen Größe Geht in die Cloud, sucht euch einen guten Anbieter raus.

00:09:13: Schaut das im Zweifel bei den großen Seiten?

00:09:16: Die sind aus eigenem Interesse schon dabei, dass da nicht schief geht weil selber... Da sind irgendwelche Quereinsteiger, die das nebenbei machen.

00:09:25: Also ich betreue eine Brennerei der dort für die IT zuständig ist und der brennt nebenbei Alkohol.

00:09:32: Kann man sich so ein Gefühl vorstellen!

00:09:34: Aber

00:09:35: er hat eine Leidenschaft nur für den falschen Bereich.

00:09:39: Er hat eine Leidenschaft, das ist super.

00:09:40: Aber Sven ganz kurz, es ist ja... Das ist ja tatsächlich genau das was uns gegenwärtig auch immer als Audio-Unternehmen gegenübersteht.

00:09:47: Also wir betreuen ja auch Firmen die eigene IT Abteilung haben Die aber bewusst sich jemand fremdes reinholenweise verstanden haben dass IT Sicherheit irgendwo schon da der Wands hat und auch vielleicht den Fokus ein bisschen wegtreten.

00:09:56: Aber das was du hier auch beschreibst, ist ja genau das Was wir überall gegenwärdig haben.

00:10:01: Es kommt der Datenschutzbeauftragter.

00:10:03: Ich kenne ja Sven auch schon ne Weide Und er war früher unser Datenschutztbeauftrage Da.

00:10:07: ich hab ihn geholt zu dazu geholt sozusagen.

00:10:10: Er ging mir dann immer auf den Keks.

00:10:12: Aber das ist ja genau der Punkt.

00:10:14: Also du wirst ja, wenn Leute das hat mich ernst nehmen wie Datenschutz, wie auch Wendavoll meinte dann ist es ja so dass es im Prinzip nicht gelebte Kultur ist.

00:10:23: also wenn der IT da sagt Ja ich habe einen Deckabpunkt in der Vorragung, das ist total super und wir personenbezogene Daten gelöschen auch die Engels Wenn das ohne Kontrolle ist und tatsächlich auch nicht tatsächlich in irgendeiner Weise auch wortgeführte gelebete Kultur im Unternehmen ist, ist das alles von Salopp gesagt für den Arsch.

00:10:40: letztendlich noch einen kleinen Nachtrag zu den Geschäftsführern.

00:10:44: Wenn ich zum spätestens auch mit den Geschäftstüdern rede, merkt man ja relativ schnell so wie tickt derjenige jetzt?

00:10:50: Habe ich z.B.

00:10:50: ein etwas älteren schon, der sagt sonst alles Quatsch da draußen und dann hat er uns einen Blödsinn brauchen wir sowieso nicht.

00:10:56: Ich weiß gar nicht wo hab' ich der Beopfergeld ausgebe?

00:10:57: Das gleiche ist natürlich was mich im Zweifel bei einer IT erwartet Und das merkt mal relativ schnell um was Tim gerade gesagt hat Bei dem, was man denn da kauft an Hardware Software, dann mag man da ja super tolle Vorsätze haben und auch so ein super Leistungskatalog.

00:11:13: Und was weiß ich nicht?

00:11:14: Da steht noch drin das IT-Secure, die ganz wichtig ist!

00:11:18: Dann steht der wieder um den Preis.

00:11:21: Das ist das, wo nachher nachentschieden wird.

00:11:25: Ich zieh die AFX Kosten... Ganz wichtig.

00:11:27: Ich

00:11:28: seh das nicht anders, genau!

00:11:30: Das war früher so und es hat sich nie wirklich großartig geändert.

00:11:34: Da mag zwar die Sensibilität dafür gestiegen sein also dass die Geschätztöre im mittlerweile schon wissen... Also ohne IT läuft das hier wirklich nicht mehr ganz so gut ne?

00:11:44: Wenn irgendwie das Netzwerk funktioniert kann ich plötzlich mal ausdrucken, ich kann doch nicht mehr ins Internet auch doof.

00:11:48: Es kam jetzt immer wieder Dienstleister.

00:11:50: Dienstleisters, Dienstleiser und ich geb das raus und ich hab Kunden usw..

00:11:54: Das war genau der Punkt.

00:11:55: ja Jetzt habe

00:11:56: ich ja aber als Unternehmer oder auch als Unternehmen insgesamt die Verantwortung, das Ganze ja trotzdem noch zu kontrollieren und zu tun und zu machen.

00:12:06: Und was muss sich denn an?

00:12:08: welche Verantwortung hat denn das unter dem alles?

00:12:10: Und insbesondere der Unternehmer respektive der Geschäftsführer.

00:12:13: wenn er Technik Betrieb an den Dienstleister raus gibt ist er dann nicht vogelfrei?

00:12:19: Er muss immer noch etwas machen Herr Bachmann

00:12:22: Beinharter Regelung heißt der Vorstand, der Geschäftsführer muss Vorsorge gegen bestandsgefährdende Risiken des Unternehmens treffen.

00:12:29: Das heißt er muss wissen welches Risiko besteht und wie ich das Manager.

00:12:33: Und wenn es nicht weiß musste sich die das entsprechende Know-how holen und das nötige Personal vergleichsweise simpel.

00:12:39: Es ist exakt das was wir vorhin schon mal kurz besprochen hatten was Dirk so schön angemerkt hat mit dem Papst des Gesellschaftsrechts Markus Luther, eigentlich beginnt der Geschäftsführer in der Sekunde der Unterschrift und über den Anstellungsvertrag sich daran zu gewöhnen mit einem Bein, mit schwedischen Gardinen irgendwie zu tun zu haben.

00:12:56: Also das ist tatsächlich das Grundprinzip.

00:13:00: Das ist schon vergleichsweise alt.

00:13:01: wir sind jetzt also wir müssen einen Sprung zurück machen so in two-neunzehntausend achtzig vierundachtzig.

00:13:06: bis dahin hatte man tatsächlich die Idee dass der Geschäftspführer ein Geschäftsmann ist Und der führten Unternehmen wie ein Geschäft und wenn er ein gutes Geschäft macht, ist schön.

00:13:17: Wenn er ein schlechtes Geschäft macht ist eben essig oder nötigenfalls das Unternehmen pleite und so ist es

00:13:22: halt.".

00:13:23: Und dann besetzte aus den USA eine Bewegung ein die sagte unser Ausgehen von Aktionären, die meinten naja so ganz easy können wir unsere Vorstände glaube ich nicht davon kommen lassen.

00:13:35: Dann wurde etwas eingeführt und formuliert was Neudeutsch Business Judgment heißt Business Judgement Rule, du hast eigentlich nur einen Ermessensspielraum und den Beurteilungsspielraum in Kern kauft menschen Themen.

00:13:47: Und in allen anderen Themen hast Du es nicht weil Du musst für jede Entscheidung dafür sorgen dass Du die richtige Datenbasis hast das Du die richtige Informationsbasis hasst.

00:13:57: Du musst das Know-how entsprechend besorgen.

00:13:59: Du muss die Konsequenzen besorgn.

00:14:01: Du mußt die finanzielle Solidität entsprechend prüfen usw.. Das heißt wir haben dort ein ganz Bein hat das System der Verrechtlichung, was ungefähr auch der Verrechtlichungen bei uns beispielsweise dem Schulwesen entspricht.

00:14:14: Da wo früher das Kind nach Hause kam und sagte ich habe halt nur ne Fünf war es eben dumm gelaufen und man hatte eben eine.

00:14:20: fünf Jahre später hatte man hinterher Verwaltungsgerichtserfahren über die Frage, ob die Bewertung durch die Lehrer denn auch tatsächlich konform ist mit sämtlichen Standards, die die Gerichte sich ausgedacht haben dafür.

00:14:33: Und so ein ähnliches System haben wir auch.

00:14:35: Je komplexer das Wirtschaftsmodell, desto komplexter die rechtlichen Anforderungen an das was Duty of Care ist –was muss ich an Sorgfortsanforderungen entsprechend bedienen?

00:14:48: Sven von beschrieben haben, an was auch möglich ist läuft natürlich unter der Rubrik dafür.

00:14:53: bis da dran.

00:14:54: Also wenn diese Effekte da sind dann kommst du nicht so billigweilig.

00:14:59: Der naheliegende Ausweg war dann und das ist etwas was wir auch den Amerikanern verdanken was aber bei uns ich glaube durch mangelde Sprachkenntnis dann Einzug erhalten hat.

00:15:10: Das heißt dann due diligence.

00:15:13: In den USA hattest Du Bei bestimmten Straftatbeständen ist Unternehmenstrafheits die Möglichkeit, die Strafe insbesondere Kartellstrafen abzuwenden.

00:15:21: Wenn du sagst, ich habe aber adäquate Vorkehrungen getroffen gegen diese Art von kartellenwidrigen Verhalten.

00:15:28: Also wenn du in eigener Organisationshoheit Vorsorge getroffen hattest dass so was nicht passieren kann also gelebte Sicherheitsprozesse Konntest du Rabatt für deine Straftatbestandte kriegen?

00:15:40: Eine ähnliche Struktur gab es dann in dem Fall, den ich gerade beschrieben habe.

00:15:43: Business Judgment der Unternehmer der Vorstand haftet wenn er selber diese Due Diligence also diese Sorgfalt in eigenen Angelegenheiten das implementieren von Sorgfalts Standards Wenn er das nicht gemacht hat.

00:15:55: dort hat dieser due Dilisions Begriff zur Haftungsbegründung geführt.

00:16:00: Das war nach deutschem Recht alles eigentlich komplett unnötig weil wir diese Regelungen alle schon hatten.

00:16:06: aber Wir haben ja ein Beratergewerbe von Arthur Anderson bis sonst sohin.

00:16:10: Die haben sich dann gedacht, das ist doch ein cooles Gewerbe!

00:16:13: Ich erkläre jetzt erstmal allen Unternehmungen was sie an New Diligence und Duty of Care entsprechend machen sollen weil die wissen es ja selber nicht.

00:16:23: Und das Ergebnis ist das, was sie alle hassen wie die Pest.

00:16:26: Nämlich die Zertifizierung.

00:16:27: Jetzt jagen wir durch die Unternehmen – die PWCs und die KBMGs und die Accentures der Welt -, dass sie stand heute nach der Kenntnis der Lage, nach der Durchsicht aller Unterlagen durchaus konform sind mit dem, was die Anforderungen sind, die Sie einhalten müssen.

00:16:43: Dass sie also compliant sind!

00:16:46: Dann lacht sich Sven schon wieder einen und Tim fällt voron macht hinten rüber und sagt «Das ist genau der Scheiß, den wir nicht brauchen».

00:16:52: Weil das ist das für den Leitzordner.

00:16:55: Ja, das ist diese wunderbare Oblade die du einrahmst und über dem Chefsessel hängst.

00:16:59: Wir machen ja alle irgendwie eine Steuererklärung so am Ende des Jahres dann kommt der Steuerberater bei der GmbHA und dann macht er mir alles fertig und dann zum Schluss muss ich davon unterschreiben dass sich das alles richtig ist.

00:17:09: Dann denke ich mir auch immer das ist nicht so... KPNG kommt auch!

00:17:14: Macht alles und danach muss ich der Fund geschrieben schreiben, dass das aber auch wieder so ist.

00:17:17: Und damit sind dann alle wieder raus?

00:17:19: Das ist der halbe Fuß

00:17:20: am

00:17:20: Knast, wie du gerade schon gesagt

00:17:22: hast.

00:17:23: Wir haben diese wirklich ernsthafte Umgang mit diesen technischen Risiken für den Bestand des Unternehmens.

00:17:29: Haben wir uns angewöhnt über jetzt zweieinhalb Jahrzehnte lang dadurch zu behandeln, dass wir sagen, wir haben eine Compliance-Organisation und wir füllen Leitsordner oder digitale Ablagen.

00:17:39: Und das ist genau der Grund warum es nicht funktioniert.

00:17:42: Sven sagt das so schön, er empfieh' den Leuten in die Klaut zu gehen.

00:17:45: und da ist das nächste.

00:17:46: Das Risiko verlagert sich ja in dem Kontext nur weil nehmen wir mal Beispielpreise vor drei Wochen Microsoft die Mal... für fast zweiundsebzehnte Stunden eigentlich die Ausfallentechnischen hatten, wo die E-Mails hinuntergegangen sind.

00:17:59: Auch das ist ja nicht kontrollierbar und auch da musst du dir Nachsorge tragen was passiert mit deinem Daten im Falle des Falles?

00:18:04: sollte dieses US-Unternehmen aus irgendwelchen Gründen, was ja nicht ganz so abwegig ist mal vielleicht eventuell ein bisschen weiter durchdrehen oder beziehungsweise mehr Restriktive aus den USA bekommen.

00:18:12: Im Prinzip ist dieses ganze Thema im Kontext demgeblich in die Hand.

00:18:17: wie wird es geführt?

00:18:18: Und wie ist die Philosophie dahinter?

00:18:20: auch immer auch eine Abwägung von dem, wie verstehe ich überhaupt was ich da tue und was werde er gemacht.

00:18:25: Und das ist ein Riesenproblem.

00:18:26: Also einen Wechselrichter per se jetzt in der Energiewirtschaft zu sagen, zu verbauen von Hersteller X Y Z ist persönlich falsch.

00:18:32: Es geht ja darum, dass es qualitativ erstmal die Hardware das Richtige.

00:18:35: Aber Ende des Tages ist es entweder der IT-Leiter, der die Gewalt über die Infrastruktur hat oder keine Ahnung noch etwas da tut.

00:18:41: Der Geschäftsführer der irgendwann mit Microsoft irgendwelche Lizenzen bezahlten damit denkt er als erledigt oder schlussendlich der, der keine Ahnung hat was da für eine Software überhaupt draufläuft und ne Blackbox in der Ecke stehen hat.

00:18:52: Und das sind so Punkte... Das ist in IT leider immer geeignet wertig und das ist die Abwägung wo man reingehen muss.

00:18:59: Es ist an der Zeit für mich die provokative Frage zu stellen.

00:19:04: Das, was ihr erzählt mit Blick auf die Energiewirtschaft geht mir ehrlich gestanden nicht weit genug.

00:19:09: Wir haben an diesem wunderbaren Beispiel von SunGrow und der in diesem Artikel der Zeit veröffentlichten Karte wie weit die SunGrows Wechselrechte über Europa verstreut sind gesehen was dieses Datenleck für eine Auswirkung im Worst Case Szenario haben kann nämlich den Zusammenbruch des europäischen Energiesystems.

00:19:27: Ich habe vor vielen Jahren mal in einer Veranstaltung teilgenommen, da war ich wirklich artfremd.

00:19:32: Da saßen nämlich nur Techniker und nicht dazwischen Und diese Techniker haben sich mit Begeisterung darüber unterhalten wie es denn für diejenigen ist der bei einem Blackout in Europa am Schalter sitzt und versucht das Netz wieder hochzufahren.

00:19:43: Das sind sämtliche Geburtstage Weihnachtsfeiern und Ostern auf einem Tag als Herausforderer für einen Techniker.

00:19:53: Wir sprechen, wie ihr gerade dargelegt habt von den Herausforderungen zu wissen was tue ich.

00:19:58: Sowohl als als Tieder und auch als Geschäftsführer.

00:20:02: Wenn ich deine einleitenden Worte, Tim, nehme wo du gesagt hast die Kaufen in Route für eine PV Anlage hängt denen da rein – für zweieinhalb Euro.

00:20:10: Freuen sich und hoffen dass der zwanzig Jahre lang läuft und das war es!

00:20:14: Dann sind das Anforderungen, die ehrlich gestanden der Bedeutung der Energie und dieser einzelnen Systeme im Energienetz bei Weitem nicht gerecht wird.

00:20:23: Meine Frage deswegen ein erstens Haben wir kritische Infrastrukturen?

00:20:29: Datencenter etc.

00:20:30: pp, bei denen Fifi- oder auch Atomkraftwerke, Kohlekraftwerke – bei denen ganz andere Anforderungen seitens des Gesetzgebers vorgegeben sind, was das Thema IT-Sicherheit angeht?

00:20:42: und zweitens mit Blick auf die ganzen dezentralen Anlagenbetreiber aber noch viel mehr, mit Blick Auf die eighthundertfünfzig Netzbetreube, die wir in Deutschland haben wäre es da um der Bedeutung der Sache nicht gerecht zu werden sinnvoll wenn der Gesetzgeber Regelungen trifft die DASA dass nur Geräte verbaut werden dürfen, die eine Mindest-Standatisierung einer Mindestlizensierung entsprechen.

00:21:06: Um genau dem Umstand das der Einzelne – da schließe ich mich voll und ganz ein überhaupt gar keine Ahnung hat was er dazu tut und was er da einkauft – diesem Umstand gerecht zu werden.

00:21:15: und trotzdem meine Höchstmassensicherheit in der Stromversorgung bei der dezentralen Produktion und Verteilung zur Gewährleisten.

00:21:22: Sprich Start greift viel mehr ein.

00:21:25: Wir drängen den Markt an dieser Stelle bewusst zurück, um dem Umstand rechnen zu tragen welche bedeutend die Energieproduktion und die Energieverteilung in Europa für die europäische Volkswirtschaften hat.

00:21:42: die Steuerung von PV-Anlagen oder Erzbüchungsanlagen über dieses schöne Langwellensignal eines vom Grundsteuerempfängers.

00:21:58: Es ist also aus meiner Sicht nicht nur die Frage der Komponenten an sich, ob wechselrichter Seite oder ob ich jetzt ein ganz tolles Modem da vor Ort habe oder nicht sondern es ist die Frage dieser Gesamtangreifbarkeit dieses Systems.

00:22:11: Verschiedene Energieversorgern in Deutschland sind aus meiner Sicht sehr offen angreif bar andere wiederum nicht.

00:22:17: einzelne Anlagen sind Super einfach angreifbar, weil sie nicht abgeschlossen sind.

00:22:22: Da kann ich einfach dran gehen.

00:22:23: Kann tun und lassen was sich will?

00:22:25: Es ist also diese Frage der Kontrolle.

00:22:27: Ergänzt darum wann hat welches Gerät seine Zulassung bekommen?

00:22:31: ein Großteil der Geräte ist ja schon relativ alt.

00:22:35: Wir bewegen uns hier in der PV nicht jetzt erst seit fünfzehn Jahren zwanzig Jahren sondern den neunzigern hat das ganze her angefangen Und die ersten Wechselrichter können ja per se erstmal gar nichts.

00:22:45: Also die haben ja eigentlich noch nicht mehr eine Kommunikationsschnittstelle teilweise außer einer LED, die sagt jetzt bin ich an oder aus.

00:22:51: Wenn ich jetzt in einem... Ich spiele einfach mal dieses gefährliche Spiel und sage ich will das deutsche Stromnetz oder das europäische Stromnetze tatsächlich angreifen und ich gehe über die erneuerbaren Energien.

00:23:01: Wir haben es zum einen bei der Verfügung vom Chaos Computer Club gesehen was man mit dem Flipper relativ einfach an irgendwelchen lustigen Straßenlaternen machen kann.

00:23:08: wenn man weiß was man tut ist dieses System aus meiner Sicht sehr offen und aus meiner Sicht auch sehr angreifbar.

00:23:15: Und das ist der Punkt, wo ich jetzt an Sven und Tim übergebe?

00:23:18: Naja...

00:23:20: Ich will mal die Frage von Dirk Neumann aufnehmen in einem Bezug Es gibt Anlagen, die besser geschützt sind oder anderen Anlagen die auch dementsprechend in Anführungsstrichen andere Regulaturen stattfinden.

00:23:31: Das sind beispielsweise Windkraftanlagen oder Turmkraftwerk oder Kullegraftwerke weil die werden nicht von irgendwelchen Firmen Mein, sie haben ja irgendwelche Photovoltaik auf dem Dach geschraubt betrieben.

00:23:42: Sondern das sind meistens schon ernst zu nehmen und daneben die dahinter stehen.

00:23:45: Die nicht einfach irgendwelchen Partische aufeinander bauen ein paar Wechselrichter anschließen oder wenn das Tages irgendwie locker zusammenführen.

00:23:51: Also die sind schon ernstzunehmen.

00:23:53: neben da aber die ganze PV-Produktion die wir jetzt einfach mal so betrachten ist absolut unreguliert und absolut chaotisch.

00:24:00: Ja, das würde ich als tatsächlich den kritischsten Bereich setzen.

00:24:03: Und da ja auch der zunehmende Ausbau was das Thema Vollurteiganlagen und Privathaushalte und Industrie-Dächer usw.

00:24:09: angeht, würde ich sagen dann haben wir auf jeden Fall einen massiven Gap um was Systemersicherheit angeht weil sich damit halt keiner auskennt.

00:24:15: also ich kann mal in meiner Wertezeit zehn Jahre beim Vollurtagebauer sozusagen war es auch so oder ist jemand vom Service hingegangen, der hat irgendwie in den Industrie-Dachanlage und im Zweifelsfall wusste er okay ich brauche irgendwo ein Internetzugang.

00:24:33: Und er hat ganz schnell mit der IT gesprochen und gesagt okay brauch jetzt das Internet Zugang weil der Locker muss raus.

00:24:37: Das war der Kontakt wie im Prinzip die Anlage oder auch der Wechselrichter kommuniziert hat an dieser Stelle.

00:24:43: Diese Anlagen sind alle samt inclusive Solarparks.

00:24:47: Jetzt haben wir mal einen Jahr zurück, vielleicht ist es so ein bisschen sensibilisiert eingetreten.

00:24:52: Ich glaube zwar nicht aber vielleicht ein bisschen.

00:24:54: Aber bis vor zwei drei Jahren ist das genau der Turnus gewesen wie sowas überhaupt gemacht worden ist.

00:24:58: Da wurde mich darüber nachgedacht da wurde einfach gemacht und nicht reguliert.

00:25:02: Die Einzige oder Tori die gesagt hast Michael Wir brauchen einen Rundfunksteuerempfänger ganz tolles Gerät was aber auch angreifbar ist indirekt und mehr gab es dann nicht.

00:25:13: Der Anlage muss regulierbar sein ja aber die Anlage heißt nicht dass ich sie kontrollieren kann.

00:25:17: Prägulierbar ist er aber kontrollierbar nicht.

00:25:19: Tim vielleicht ein Beispiel dafür, weil du gerade gesagt hast dass natürlich die PV Anlage nicht mit einem Windkraftwerk oder natürlich einem Atomkraftwerk allein was die Bedeutung der einzelnen Anlage im Netz angeht vergleichen kann?

00:25:32: Wir haben aus dem Jahr zwei Tausendsechzehn und zwei Taussendsebzehnte Situation gehabt das wir eine technische Zertifizierung von den Anlagen ab einer Größenordnung von allen Megawatt bedurft haben.

00:25:41: In diesem Zeitraum ist die Grenze auf hundredfünfunddreißig Kilowatt Pieke runtergesetzt worden.

00:25:46: Und es ist lange Zeit darüber rund gesprochen worden und es gab Gerüchte im Markt, die gesagt haben das ist ein Beitrag von Herrn Altmaier gewesen um die erneuerbare Energien klein zu halten.

00:25:56: Ich habe mit dieser Aussage einen Herren vor einiger Zeit konfrontiert der bei Altmaiere mit am Tisch gesessen hat.

00:26:02: Die Ansage war ja dass Ergebnis von Hundertfünfunddreßig Kilo Watt Pieck war des Ergebnisses des türkischen Bazaars.

00:26:09: aber was für alle Beteiligten einstimmig Meinung war und Einschätzung auf Grundprüfungsergebnisse war, dass Anlagen im Kleinteilsägment Aufdachanlagen seinerzeit von Installationsbetrieben errichtet worden sind die in der Konsequenz dazu geführt haben das ca.

00:26:34: Achtzig Prozent der Gesamtanlage ist eine Größenordnung, die ist mehr als kritisch.

00:26:39: Deswegen muss die Zertifizierungsgrenze deutlich runtergefahren werden um die Netzsicherheit zu wahren.

00:26:45: und vor diesem Hintergrund wenn ich dann sehe Die Vielzahl wie gesagt SunGrow ist ein Beispiel von vielen ihr habt ihr bereits genannt hatten wir vorhin bereits genannt.

00:26:55: deswegen wollen wir SunGraw auch nicht allzu groß hier rausstellen sagen wir vielmehr bei den Top FIVE der Wechselrichterhersteller und dem Verbreitungsgrad ihrer Produkte im Markt.

00:27:05: Wenn dort ein Sicherheitsproblem auftaucht, dann hat das in seiner geballten Power sehr wohl ganz gravierende Auswirkungen aufs Netz – und sehr wohl ist ein Sicherheitsstandard dann notwendig wie ich ihn unter Umständen bei einem einzelnen Atomkraftwerk ebenfalls benötige und

00:27:24: ansetze."

00:27:25: Würde ich absolut bejahen.

00:27:27: Ja, wäre notwendig.

00:27:28: Wir haben im europäischen Zubau ein Salonakapazit von zweieinhalb Niga-Watt also die sind ja da.

00:27:33: Die kann man nicht kleinreden.

00:27:34: das ist eine Masse die vorhanden ist und auf jeden Fall aufgrund dieser Masse wäre auch eine Zertifizierung ratsam.

00:27:39: Also wir erleben es im Kleinteiligen dass jetzt die Anforderung kommt halt mal irgendwie generell zu prüfen was in Form der NES II Wie habe ich ihn da überhaupt?

00:27:49: Oder wie führe ich der Update durch, das ist aber auch alles noch relativ schwammig.

00:27:53: Aber schlussendlich interessieren tut es momentan keinen.

00:27:56: Jetzt hätte ich für Zürichspflicht sehr super!

00:27:58: Ich hoffe nicht alleine dass BSI entscheidet das.

00:28:00: Das wäre so das Einzige weil die BSI praktisch sind auch nicht immer gut.

00:28:04: Da würde ich mich sehr freuen an der Stelle wenn's dann eine Gegebenheit gäbe wo die sagten Instanz okay pass auf das und das sind die Mindestansforderungen daran die sie auch ein bisschen am Markt orientieren und gleichzeitig auch das irgendwie nicht entschleudigen, also dass wir einen Ausbau brauchen ohne Frage.

00:28:20: Aber dass wir auch einen Sicherheitsstandard brauchen, der definitiv höher ist, definitiv.

00:28:24: Also aus meiner Sicht, ich betreue ein kritisches Unternehmen.

00:28:27: Jetzt meine ich auch seine Energiewirtschaft, aber es ist ja dann eigentlich egal vom Kontext her.

00:28:32: Was ein kritises Unternehmen für einen Aufwand betreiben muss.

00:28:34: Nichts anderes, mehr oder weniger wie so eine ISO-Siebendzwanzig Nr.

00:28:37: Eins, die eigentlich so erfüllen müssen plus System zur Angriffserkennung, das ist ein Riesenfragenkatalog der noch an den Top gesetzt wird und so weiter.

00:28:44: Und dann, das prüft ja aber nicht das BSI.

00:28:47: Sondern muss ich mir selber wieder ein Zertivizierer suchen?

00:28:51: Den bezahlen wir!

00:28:52: Also

00:28:53: nennt das jetzt wieder bei den Unternehmensberatern, die da draußen sind.

00:28:57: TÜV Nord-Süd, Rheinland, TÜv Zärt weiß ich nicht wenn es denn so alle gibt und dann kriegen wir halt so ein paar Angebote über Forderung oder unterbieten sich dann noch so ein bisschen damit sie's dann auch kriegen und tauchen da ein bisschen Auditoren auf und solange das alles halbwegs auch gut aussieht.

00:29:15: Jetzt sind wir nämlich wieder der Papiertiger.

00:29:17: schön.

00:29:18: zu Leuten wird gar nicht so viel gesprochen Tins ist alles gut und schön, ne?

00:29:22: Und dann fahren die alle wieder nach Hause.

00:29:24: Man kriegt dann so ein Bericht... ...und das war es jetzt von großem Ganzen,

00:29:27: ne?!

00:29:27: Das BSI macht ja noch so ein bisschen Terror wenn man denn zu lange wartet weil man irgendwelche Mängeln nicht sofort behebt.

00:29:33: aber da kann man an die auch hinschicken was man will weil da kommt auch keiner mal und guckt, ne!

00:29:38: Vielleicht wenn der Welt irgendwo mehr untergegangen ist dann kommen vielleicht andere vorbei So und das sind die Großen und dann sehe ich denn sowas.. Dann passiert sowas wie in Berlin oder wir auch immer und da steht sich die Politikin sagt oh wir müssen jetzt aber unbedingt Das ist wirklich das Wichtigste überhaupt.

00:29:53: Und dann wird zum Beispiel diese Beprüfungspflicht von zwei Jahre, also alle zwei Jahre kommt der Auditor vorbei auf alle drei Jahre gesetzt.

00:30:01: Da steht er und denkt, es ist jetzt irgendwie nicht so das was sie gerade gesagt haben.

00:30:06: Also jedes Jahr wäre vielleicht mal eine gute Idee und vielleicht sollten auch jemanden vorbeikommen Die man nicht selber bezahlt hat, sondern die das BSI dafür angehört.

00:30:14: Dass die auch was finden oder vielleicht so ein paar Leute mal vom Chaos Computer Club vorbeischicken?

00:30:19: Weil ich glaube, die würden wesentlich mehr Kompetenz mitbringen als vielleicht der eine oder andere Auditor, der da vor Ort ist.

00:30:25: und dann kriegt man das aber warte ganz damit er mit dem Bogen verliere.

00:30:30: So also was soll man denn eigentlich kontrollieren.

00:30:33: Sagen wir mal wirklich den Papiertiege kontrollierende ISO, die Industrie schön für sich selber auch entdeckt hat na?

00:30:39: Wir sind ISO, sieben zwanzig Null Eins Zertifizälen und alle freuen sich und glauben das dann auch noch bis man da mal anfängt zu hinterfragen.

00:30:46: Und damit ich bei der Eingangssatz vom Michael Ilwua gesagt habe Na

00:30:50: ja

00:30:51: also Geos etc.

00:30:53: Das kommt heute gar nicht mehr von uns.

00:30:55: Also wer froh dass das alles aus fern Ost kommt etc.

00:30:58: Aber warum ist es so?

00:31:01: Geht da keine Regierung geschweige denn ne EU-Ball hin?

00:31:05: Ich glaube wir haben Markt hier so von fünfhundert Millionen Einwohnern im europäischen Raum und ich glaub, der sitzt noch ein paar ganz fähige Leute.

00:31:12: Warum wird sowas nicht gefördert?

00:31:13: Die USA machen es unständig vor!

00:31:15: Und wir hier dümpeln so vor uns hin und freuen uns immer noch dafür die tollsten Maschinen auf der Welt vielleicht herstellen, aber dann gehört's auch rauf, ne?

00:31:22: So und da fehlt's halt,

00:31:24: ne?!

00:31:24: Das wäre politisches Engagement.

00:31:26: wo ich sage... Da muss man ansetzen, weil dann habe ich im Zweifel selbst entwickelte Gerätschaften und gar kein anderer mehr mitspielt.

00:31:35: Der Smart-Meter, wo wir in Deutschland weit hinterher hinken, liegt gerade knapp unter sechs Prozent.

00:32:03: Während andere europäische Länder schon in den neunzigern Prozent unterwegs sind.

00:32:07: China wie ich letztens erfahren durfte.

00:32:09: Hundertprozent Abdeckung War in Deutschland davon abhängig, dass man gesagt hat erstens wir wollen Wettbewerbgewehr leisten und zweitens Datensicherheit.

00:32:16: Das bedeutet Wir fangen mit dem Rollout erst an wenn wir da draußen drei Unternehmen haben die unterschiedliche zersifizierte Smart Mieter anbieten können Die nach IT-Standards sicher sind damit wir es auch verkaufen können das sie in den Privathaushalten verbaut werden.

00:32:32: Also, warum nicht tatsächlich eine Vorgabe?

00:32:36: Eine Bomb.

00:32:37: Eine List of materials die am Ende des Tages genau sagt ab einer bestimmten Größenordnung sage ich mal entnehmig dich aus der Verantwortung Anlagen Betreiber, Geschäftsführer IT-ler, der du dahinter steckst weil ich dir vorab vorgebe dass du nur zertifizierte Komponenten an den entsprechend relevanten Stellen einsetzen darfst.

00:32:58: Und genau an dieser Stelle die Zertifisierung TÜV Bundesbehörden wäre auch immer dafür zuständig sein Markt die verhängt Damit wir die Sicherheit haben und nicht genau das Problem haben, der eine sagt ich bausein kümmer mich nie wieder drum keine Ahnung wo es herkommt.

00:33:12: Ich bin gänzlichst überfordert Und am Ende des Tages möglicherweise am Markt ein Kauldewilch vorherrscht bei dem ich mir ergänzen noch die Frage aber da könnt ihr gerne später drauf eingehen.

00:33:22: Noch ergänzend die Fragestelle in wie weit kommuniziert und spricht dass wirklich hundert Prozent alles miteinander diese unterschiedlichen Gerätschaften und unterschiedliche Software Programme oder entwickelt sich nicht aus hier überschneidungs zusätzliche Sicherheitsprobleme.

00:33:37: Ich habe geahnt, ich komme irgendwann zu der Frage die alle Mundtod macht.

00:33:40: Nein also das was du gerade gesagt hast ist ja das was ich grad schon gesprochen hab.

00:33:44: ne wenn man sowas mal auf europäischer Ebene raus hauen müsste denn hätte ich vielleicht eine Zertifizierung dass das halt keine Ahnung made by EU Dann weiß ich halt im Zweifel, der hängt jetzt nicht irgendwie chinesische Platte dahinter.

00:33:57: Wo weiß Gott noch was mit eingelötet wurde?

00:34:00: Oder geschweige denn Bios oder Netz wieder bei dem bösen Sandbrow, die ich auch auf den Dach habe.

00:34:05: In dem Bericht wird ja schön geschrieben da wurden dann halt ein Update reingespielt was das Ganze in den Aufgaben hat.

00:34:10: Was macht's denn so sicher dass das Update nicht wieder reingespielt wird, dass es ganze wieder möglich macht?

00:34:15: und dann ist dann tuttig weil ihnen welche politischen Gegebenheiten dafür sorgen dass das halt gemacht werden muss.

00:34:22: Man könnte ja aus dem chinesischen Bereich durchaus passieren.

00:34:26: Dirk, ich sehe deine Fragestellung die macht mich jetzt nicht munthot und ich frage mich nur immer wer die Verantwortung der vernimmt?

00:34:30: Wir kriegen es in Europa nicht gebacken eine vernünftige KI Infrastruktur eben bürtig einer amerikanischen IT Infrastruktur ist zu bauen.

00:34:39: und da frage ich mich wer die Komponentenauswahl übernimmt weil wir keine Produktion haben oder Komponenten hier entwickelt werden die für sowas im Prinzip gebraucht werden.

00:34:46: man hat ja vor Jahren im Prinzip schon diese Schlüssel in die handgegebene Chinesen, die können das.

00:34:50: Die machen das und die machen das jetzt auch sehr erfolgreich und werfen es im Markt rein.

00:34:55: Ich glaube eher dass ist ja ähnlich wie die Debatte, die es vor allen Dingen jahren gab mit Huawei von wegen hier die Sendemast kontrolliert werden kritische Infostour.

00:35:03: Frau Merkel wurde irgendwo abgehörten hast du nicht gesehen?

00:35:05: Das ist halt im Prinzip das Gleiche, die über den Diskussionstopfen reinwerfen kann.

00:35:09: ich frage mich nur was gibt es für alte Thieben?

00:35:13: Beziehst trotzdem aus Fernost, nur das Land heißt anders.

00:35:16: Dem Vertrau war vielleicht ein bisschen mehr.

00:35:17: Jetzt ist es hier in dem Fall sehr viele Sende-Masten aus Südkorea von Samsung.

00:35:21: Die Frage ist am Ende des Tages wer soll's machen?

00:35:23: Wo kommt es her?

00:35:24: und ich glaube da müssen wir auch tatsächlich in der Hinsicht wirklich uns gut bewähnen.

00:35:29: sind wir überhaupt darauf aufgestellt.

00:35:30: Ich sag

00:35:30: mal

00:35:31: den Zündschlüssel mit solchen Unternehmen mit den Chinesen was jetzt in China läuft die Hardware da produzieren zu lassen sehe ich jetzt nicht einmal als ein Problem.

00:35:39: Ich sehe tatsächlich aber ein Problem, die Software, die dann betrieben wird.

00:35:42: Wer hat denn den Zündschlüssel in der Hand?

00:35:43: Also wer am Ende des Tages hat diese Update-Schlüssel oder die Signatureschlüssel in de Hand um sagen zu können okay ich habe eine Kontrolle drauf und ich glaube dafür ist es gut wenn das jemand irgendwie implementiert oder kontrollieren würde.

00:35:55: Ich frage mich nur wer da sein soll weil wir haben zwar im europäischen Raum auch viele Softwareunternehmen und auch viel Unternehmen die irgendwie wissen eigentlich wie's funktionieren soll Aber bisher hab' ich auf europäischer Ebene selten was gesehen, was schnell gut und funktionale hinten raus.

00:36:14: Auch vom Konzept her.

00:36:15: Tim ich gebe dir da ohne frage recht.

00:36:16: zwei Anmerken aus meiner Sicht dazu.

00:36:18: zum einen wir haben diese Frage vorhin auch bereits diskutiert zum thema wechselrichterhersteller mit Rufus die gesagt haben natürlich kaufen sie über Wechslerichte in China ein und gehen aber genau an den sensiblen Stellen dran in denen sie selbst tatsächlich veredeln, austauschen etc.

00:36:33: pp um eben zu gewährleisten ja wollt das Ding ist sauber und am Ende des Tages kann ich Made In Germany oder Made In Europe drauf machen und die Resilienzkriterien die aktuell schon gelten tatsächlich damit erfüllen.

00:36:45: Das wäre das eine.

00:36:46: Aber klar wie wir in allen Stellen sehen Wir müssen sowohl nach Amerika blickend als auch nach China blicken eigene Kapazitäten aufbauen, um diese Dinge zu produzieren.

00:36:56: Die zweite Frage die ich einfach in den Raum stellen möchte aufgrund von Unwissenheit ist das was wir jetzt hier gerade zum Thema Energie diskutieren nicht etwas was bereicht beim Thema Datencenter geklärt ist was nicht bereits bei Infrastruktur wie Flugzeug diskutiert und geklärt ist?

00:37:13: das heißt haben wir provokante frage?

00:37:16: Die gleiche Sicherheitssituation die wir hier für die erneuerbaren Energien gerade diskutieren zum Beispiel beim Betrieb des Luftverkehrs in Europa.

00:37:24: Ich kann es mir ehrlich gestanden kaum vorstellen.

00:37:26: und haben wir dort nicht bereits Möglichkeiten Copy and Paste anzusetzen, um zu sagen das was wir in anderen Infrastrukturen die erheblich sicher relevant sind, bereits gemacht haben zu transformieren, copy and paste und das als Mindestmarsch dabei in der erneuerbare Energienanlagen ab einer bestimmten Größe einfach anzusetzen.

00:37:45: Und allein den Fall wie ja nun geschildert worden ist mit der Bündelung von dreißigvierzigtausend Heimanlagen den vielleicht mal außen vorzulassen weil es ein Kleinanlagen.

00:37:55: da machts die Bündlung aus wenn ich den Zugriff drauf habe.

00:37:58: aber zumindest so sagen wir nicht heute daraus einen PV Park sehe Die inzwischen bei hundertfünfzighundertachzig Megawatt sind, da einfach zu sagen liebe Leute ab einer kritischen Größe von fünf megawatt oder zehn mega whatever habt ihr bestimmte Komponenten einzusetzen die wir vorher BSI oder Benis auch immer gibt zertifiziert haben um eine Sicherheit der Energieversorgung zu gewährleisten.

00:38:21: Ich glaube

00:38:21: das wäre sogar ohne weiteres möglich mit der aktuellen Regulierung die wir jetzt am Energiegesetz haben Energiewirtschaftsgesetz.

00:38:28: Das sind die Fünfer, Taya und Fünffer, die da neu reingekommen sind.

00:38:32: Möglich wäre das schon.

00:38:33: Ich glaube, dass Problem bei den Herstellern aber auch beim Marktprofil was du gerade beschrieben hast, Dirk ist tatsächlich, dass wir aus einer Ebene der also wirklich vollständig regulierten Monopole der Energieerzeugung der Energieverteilung kommen zu dieser vernetzten Energieerzeigung und Energieverteilung wie wir sie idealerweise haben wollen mit dem mit on top eine Reihe von virtuellen Akteuren.

00:38:59: Also ich habe Aggregatoren, ich habe virtuelle Kraftwerke Ich habe Energiemanagementsysteme, ich hab Hersteller-Clouds und so weiter.

00:39:06: Die müssen noch nicht mal in Deutschland sitzen, das machen zu können.

00:39:09: Und da endet natürlich dann bei diesem exterritorial Ding also die Herstella Cloud von wem auch immer der in Shenzhen entsprechend sitzt.

00:39:18: Da hab' ich eine Tat Probleme mit meinem Energiewirtschaftsrecht und mir meinen ist zwei unseren zu was hinzukommen.

00:39:24: Das ist aber so wie ich das jetzt verstehe, ist diese Graswurzel Energie erzeugen und Energieverteilung ja ursprünglich auch gewollt gewesen um einen schnellen Hochlauf von der von den erneuerbaren Energien im Bereich von Bechern und was noch alles da zu haben.

00:39:39: nur wir haben uns damit auch ein Problem eingehandelt dass wir an anderer Stelle auch kennen nämlich genau diese Netzwerkeffekte.

00:39:49: für sich genommen ist jedes Dach PV-Ding.

00:39:52: Und jedes Ding, was da auf der lokalen Müllkippe, die rekultiviert wurde, installiert wird vollkommen unwichtig und unbeachtlich.

00:40:00: Die kann nichts ins Schwingen bringen wenn es dort zu einem Ausfall kommt.

00:40:04: Das Problem kommt jetzt, wenn ich sagen wir mal einen großen Handwerksbetrieb habe wie Tim das vorhin beschrieben hat, die ein paar Standupulter aufstellen können und Panels drauf klatschen können – die ihr Produkt Im Grunde als Drückerkolonne im Strukturvertrieb verteilen.

00:40:21: Dann habe ich exakt das Phänomen, dass ich dann pro Jahr zwölftausend neue Dächer habe die von denen auch gemanagt werden und jedes Tag für sich ist unproblematisch.

00:40:30: aber der Netzeffekt ist das eigentliche Problem bei der Geschichte.

00:40:34: Ja also du hast schon recht wir müssen dort sehr viel stärker dahin kommen.

00:40:39: zu überlegen ist denn der Ansatzpunkt, dass sich diese NIST-II und noch darüber hinaus laufenden Regulierungsanforderungen an eine bestimmte Unternehmensgröße hänge.

00:40:49: Ist das wirklich richtig oder müsste ich es nicht viel mehr an dem davon gemanagten Energievolumen abhängig machen?

00:40:56: Wir sagen die Klitsche kann ja nur aus zehn Leuten bestehen, die mit fünf KI-Agenten dann in der Lage sind, zwölfundhalbtausend Dächer da entsprechend zu managen mit X Anschlusswert.

00:41:08: dann ist nicht mehr die Unternehmensgröße und deren Umsatz das Problem, sondern es ist tatsächlich die Kritikalität dieser Netzinfrastruktur an die wir eigentlich anknüpfen müssten.

00:41:18: Dieser Anknüpfungspunkt, Netzeffekt, der fehlt tatsächlich in der aktuellen Regulierung wie sie im Energiewirtschaftsgesetz entsprechend drin ist so gut und sofortalhaft all das ist was da schon reingeschrieben wurde aber daran fehlts und die Zeitifizierung von Komponenten.

00:41:34: Das wäre sicher exakt genauso möglich wie es bei den Smartmetern, die du da beschrieben hast ja auch möglich war.

00:41:40: Dann schrei natürlich wieder Diethe sagen der Regulierung zu viel Bürokratie soviel dies und das.

00:41:47: aber möglicherweise wird tatsächlich dann die Verwendung von solchen Steuerungskomponenten, die nur ein bestimmtes Prüfziegel haben tatsächlich einer der Wege.

00:41:57: Nur das was wir nicht wegbekommen ist tatsächlich das Problem Die Risiken aus dem aus der Betreiber-Ecke digitaler Energiedienste Also dass was eben nicht mehr der große Batteriespeicher ist Das große Windkraftwerk, die große PV Anlage und so weiter auf dem Altmilitärflughafen in irgendwo Sondern.

00:42:17: das ist tatsächlich der digitale Energiedienst, der virtuell arbeitet über die Möglichkeit der Strukturierung digitaler Strukturen, die komplett Internet basiert und sonst wie sind.

00:42:28: Also grundsätzlich über offene Netze gehen.

00:42:30: Und da kommt glaube ich dir eigentlich Gefährdungslage her?

00:42:33: Das war's gut ein bisschen anders M-to-M auch das haben wir in dem Sinne nicht mehr Maschinen, das geht mehr oder weniger vielmehr über Publik.

00:42:41: Ich würde noch mal auf eine Sache eingehen.

00:42:43: Die Frage stellt, ob wir Copy-Paste aus verschiedenen Bereichen nehmen können, sagen wir Luft und Raumfahrt eventuell?

00:42:48: Ich glaube, copy-pasta zu machen ist schwierig weil die lassen sich...die machen viel selber und die machen vermutlich auch viel richtig selber.

00:42:56: aber ich sehe das immer so bei Unternehmen wie auch in den deutschen Bahnen, die in der Riesen IT Infrastruktur einen riesen IT-Buzinten dran haben, CBIT, wo die Systeme auch gehackt worden sind und man sich da auch die Frage stellt eigentlich ist es ja auch ein staatliches Unternehmen so indirekt und das da auch schon nicht funktioniert hat.

00:43:13: Also es gibt glaube ich doch, ich glaub dann gibt's wirklich tatsächlich sehr viel nachholt und wirklich sehr sehr viel zu tun.

00:43:19: und ob wir da Copy-Paste machen können aus anderen Bereichen sicherlich?

00:43:22: Ich weiß noch nicht was die richtigen Bereiche wären.

00:43:24: Aus dem Rechenzentrumsbereich vielleicht aber dass ist auch sehr unreguliert weil der IT Bereich in sich geschlossen eigentlich nicht richtig reguliert ist.

00:43:34: Es gibt zwar die Anforderungen manchmal an die Themen wie so ein Zwei-Nen-Ziebende oder Eins Aber schlussendlich gibt es Open Source So, und das Öffnet oder KI und das öffnen ganz andere Tore und Welten.

00:43:45: Wo die Regulatorik gerade aktuell fehlt und auch noch nicht ganz klar ist wo es hinläuft.

00:43:49: Und dadurch noch mehr Unsicherheit geschaffen werden!

00:43:52: Ich glaube in dem Bereich kommt dann auch mit rein, ich sag mal wem gehören denn die Daten eigentlich?

00:43:56: Und wer kann wie mit welchen Daten umgehen.

00:43:58: Das spielt da auch noch eine Rolle, wenn man jetzt fühlen wir mal diese schöne Begrifflichkeit der Zugrussrechte damit ein Wenn jens jemand nur einen Zugrissrecht hat sich irgendwas anzugucken und sieht okay ist ne tolle Glockengurve Dopp-Erzeugung

00:44:10: passt

00:44:11: Ist das ja das Eine.

00:44:12: Wenn der aber auf alle Daten Zugriff hat oder viel mehr Daten und weiß, okay wie groß ist diese Anlage.

00:44:18: Mit was wird dieser Anlage gesteuert?

00:44:20: Wie oft wird die gesteuerd?

00:44:22: Wann sind Regenzeiten wann die mal gesteuerede wird?

00:44:24: Ist da irgendeinen Muster drinnen zu erkennen?

00:44:26: Diese ganzen Monitoring-Daten, Fehler, Codes

00:44:29: etc.,

00:44:30: pp all diese Daten, die jetzt oftmals auch zu den Herstellern laufen sollten die vielleicht nicht sogar per Gesetz werden das einfach mal so ganz frech in den Raum dazu verpflichtet werden dass diese Daten gar nicht aus Deutschland schrickschricht der EU raus dürfen, wäre das sinnvoll?

00:44:46: Wäre sinnvoll.

00:44:48: Warum machen das die Firmen?

00:44:49: Weil wir haben im europäischen Bereich für solche Messstellen im Prinzip zu wenige Anbieter, die A, dass eine Audar dazu haben, die man mit diesen Informationen umgeht und die auch verarbeiten kann, visualisieren kann – auch für beispielsweise O&M.

00:45:05: Und das nächste ist wo speichern wieder in die Daten?

00:45:08: Wenn wir nicht mal selbst auf Bundesebene bei AWS neben von Amazon oder bei Microsoft Datenspeichern.

00:45:14: Wo sollten wir sie speichern, wenn wir das auch noch nicht mehr im Griff haben?

00:45:17: Dass wir sie richtig speichert vor solchen Fällen.

00:45:20: Also jenen nur an Nordrhein-Westfalen die irgendwie halbe Verwaltung da irgendwie die AWS gehangen hat von Amazon und irgendwelche Daten verloren gegangen sind links und rechts.

00:45:28: Also wir haben ja noch nicht mal da irgendwie einen richtigen Weg in der IT.

00:45:32: Und jetzt sprichst du zurecht von einer europäischen Situation, eine Datenspeicherung und Datenhaltung die aber auch selbst in sich geschlossenen A-Kapazitätstechnische Probleme haben weil innerhalb von Europa abhängig von Energiekosten, die jetzt momentan auch relativ hoch sind.

00:45:48: Und aus der anderen Seite haben wir keine Dienstleistern.

00:45:51: also Deutschland wird mir jetzt nur konkret eine anfallen, vor allem die Kapazität oder Skanzette oder zwei vielleicht und dann ein Deutschland Telekom, da hätten die Rechenzeltungskapazitäten um sowas eventuell darzubilden, die machen ja auch so ein bisschen was in KI München unten mit der SAP zusammen aber... Schlussendlich haben wir selbst da schon die Situation, dass wir noch nicht bald da Gegenspieler haben um sowas aufbauen zu können.

00:46:13: Also da fängt es ja schon an.

00:46:14: Wir sprechen... Auf der einen Seite haben wir Hardware.

00:46:17: Wenn wir jetzt heute uns was backen können wie wir das europäisch machen dann brauchen wir die Hardware, wir brauchen irgendwie die Software als die Daten irgendwo speichert am Ende des Tages für die Visualisierung Und wir brauchen jemand der Software entwickelt.

00:46:30: Gut, theoretisch hätten die alle irgendwo da aber die haben sich all das in diesen Bereichen erstmal verabschiedet weil sie jahrelang weiße Konkurrenzdruck aus China bekommen haben.

00:46:38: Das hat man dann irgendwann auch von dann irgendwie anders mal gemerkt wurden auf einmal Solarmodule teuer war.

00:46:43: es gab ja die Solarfabrik davon von der Familie Ritter in den Offenburg und das war so der letzte Passion die da noch irgendwo da war und auch selbst diesen nicht mehr da wo man sagt dann wäre europäisch irgendjemand der Mal Vielleicht ein Wechselrichter produzieren könnte oder so was.

00:46:59: Wir haben wahnsinnig wenig Halbleiterhersteller, die das machen könnten.

00:47:02: aber wenn wir uns wirklich etwas backen können dann müssen wir suchen.

00:47:04: und wenn man es jetzt mal in der Flugzeugindustrie analog sehen gut da ist halt so.

00:47:08: Airbus Das ist europäisch das funktioniert irgendwie.

00:47:11: die haben super Netzwerk können das.

00:47:13: Aber darüber hinaus wird mir jetzt keiner einfallen an der es eben würdig hinbekleben.

00:47:18: also müsst ihr echt überlegen

00:47:19: ja vielleicht vielleicht kommen wir auch wieder hin weil die Wir hatten ja dummerweise das Problem, dass wir in diesem Bereich der Industriestätik hier auf EU-Ebene zwei Player hatten die komplett gegenläufige Politik vertreten haben.

00:47:35: Das eine war tatsächlich Frankreich und alle die Länder, die so um Frankreich herum sind, die sagten, wir müssen unbedingt in die Richtung europäische Player da auch kommen.

00:47:44: Und dann gab es ein Land in Europa, das meinte, wir sind so stark exportabhängig unsere Partner, die ihr unsere Produkte weltweit kaufen.

00:47:54: Auf gar keinen Fall damit verärgern wollen dass wir irgendwelche Marktzugangshürden oder ähnliche Dinge hier schaffen.

00:47:59: und das ist exakt das Problem was den Deutschen die für diese Politik verantwortlich waren uns jetzt auf die Füße fällt.

00:48:06: Tim hat schon recht wir müssen tatsächlich in diesem Bereich eine ähnliche Industriestrategie fahren, wie wir sie damals bei Airbus irgendwie auch hatten natürlich.

00:48:14: Bei Airbus am Anfang ein total kryptiges Unternehmen.

00:48:17: also dass die jemals in der Lage sein würden deutlich mehr und besser Flugzeuge herzustellen als als Boeing in den USA war am Anfang der Geschichte komplett Out of the Blue.

00:48:26: das war jenseits das Vorstellbar aber offenbar hat sowohl das noch Hauwi wie auch die Kapazität wer auf die Finanzmittel dafür bereift.

00:48:35: Wir hatten wirklich ganz ehrlich, wir haben hier in der Tat das Problem gehabt, dass man sagt solange ich in China hochwertige Autos verkaufen kann.

00:48:44: Ist es mir scheißegal welche Wechselrechter aus China zu uns kommen?

00:48:48: Das ist aber das Problem, dass wir halt in den letzten Jahren hier auf einer glorreichen Insel gelebt haben.

00:48:54: Einerseits richtig, auf der anderen Seite und das ist etwas was mich immer wieder umtreibt und wo ich eigentlich immer wieder Kopfschütteln darstehe Wie Werner gerade beschrieben hat, wir haben den Verkaufszahlen der deutschen Automobilindustrie und andere Technologien mit Blick auf China krass geopfert.

00:49:13: Mit der Ansage wird im Hintergrund Wir haben in Deutschland achthunderttausend Menschen die in der Automobil-Industrie mal tätig waren.

00:49:20: Die Zahlen gehen runter.

00:49:22: Das heißt, es hat eine wirtschaft- volkswirtschaftliche Bewertung gegeben.

00:49:25: Die gesagt haben, dass sich das Thema Energie nicht mindestens die gleiche Wertigkeit hat wie in den Arbeitsplätzen.

00:49:41: Denn ohne Energie läuft heute gar nichts mehr!

00:49:44: Null, nothing, niente... Wir sitzen hier nicht mehr sowie uns innerhalb der fünf Minuten der Hand zugedreht wird.

00:49:51: Und genau das ist etwas, was ich für mich in diesen ganzen Rahmenbedingungen in der Basis diskutieren und dem, was sich am Markt sehr nicht widerspiegelt.

00:50:00: Warum?

00:50:01: Wie kann es sein, dass ich damals wie Werner beschrieben hat eine Wertigkeit auf politischer Ebene definiere die mich dazu bringt, dass eine französische und eine deutsche Regierung zusammenarbeiten an der Gründung von Airbus um den weltweit größten Hersteller Boeing etwas entgegenzuhalten….

00:50:18: Ehrlich gestanden wir können alle ohne Flugzeug geleben, aber keiner von uns kann ohne Energie mehr leben.

00:50:23: Aber trotzdem sind wir politisch weit davon entfernt – dem ganzen Thema Energieproduktion und Energieverteilung in Europa die gleiche Wertigkeit einzuräumen mit den daraus sich ergebenen Konsequenten konsequent notwendigen politischen Maßnahmen wie es bei der Automobilindustrie der Fall ist und wie es damals bei der Gründung von Airbus der Fall war.

00:50:43: Da kann ich nur ehrlich gestanden mit der Schulter zucken und mitm Kopf schütteln!

00:50:49: Aber wahrscheinlich versteht Politik manchmal nicht Energie, Software, Hardware.

00:50:55: Vielleicht können wir nur Maschinenbau richtig gut?

00:50:58: Wir bauen ja auch wieder Gaskraftwerke!

00:51:00: Und was der Werner gerade erzählt hat, war nicht sehr lustig.

00:51:03: Im Morgen waren Spiegelberichterinnen das Macron und der lieber Herr Merz sich eigentlich geeinigt hatten dass man jetzt für so ein bisschen Abschottung macht in Europa gegenüber China & Co.

00:51:12: Dann sind seine lieben Kollegen von mehr Merz im Europäischen Parlament ihm dann den Rücken gefallen haben gesagt ne ne ne Ne.

00:51:20: also wir sind im Außenhandel ganz wichtig.

00:51:24: Wir wollen ja unseren großen Partnern nicht verärgern Da passiert das Gleiche im Grün?

00:51:29: Auch das hatten wir alle schon.

00:51:30: Aber Verständnis, das ist so... Das ist wahrscheinlich, deswegen ist ein System wie China auch so toll weil da muss man halt keine politischen Wege gehen oder wird halt das getan was von oben diktiert wird und das langfristig dann Erfolg hat werden wir sehen.

00:51:45: aber tja

00:51:47: Wir haben eine absolute technologische Abhängigkeit geschaffen egal in welcher Hinsicht dahingehend bei den Chinesen mit Wechselrechtern.

00:51:56: Wir haben Software-Seitig auch mit der KI-Entwicklung, mit den USA.

00:52:01: Die uns noch ein bisschen besser gesonnen sind in dem Fall aber natürlich auch problematisch.

00:52:06: Aber wir haben eine technologische Abhängigkeit geschaffen.

00:52:09: also wir haben eigentlich die Geister, die wir riefen.

00:52:12: Die haben jetzt da und die Spirale daraus zu kommen.

00:52:16: Es ist IT-seitig, gesprochen sehr schwierig und hardware-seidig noch schwieriger weil es findet sich mal jemand der sich doch mal die Hand verbrennen möchte.

00:52:25: Das ist wie das kleine Kind.

00:52:26: Also viele auf der Herdplatte saßen lange drauf in irgendein Wurzel zu heiß und das haben wir im europäischen PV-Markt.

00:52:33: also da hat keiner mehr glaube ich gerade so viel Interesse außer Anlagen zu verbauen oder Anlagen zubauern noch Produzenten zu sein.

00:52:40: weil die haben wir alle schon verkrault die letzten Jahrzehnte

00:52:43: sehr effektiv, haben wir die verkrault und der Produktionsstandort Deutschland mit dem Hinblick darauf wie viele Wechselrichterhersteller tatsächlich hier in Deutschland ansässig sind.

00:52:53: Und dann aber Produkte als OEM in Asien fertigen lassen dafür reichen keine zwei Hände um das abzuzählen.

00:52:59: da braucht man wesentlich mehr was also eine Normalität ist.

00:53:03: Tim, du hast einen sehr wichtigen Begriff aus meiner Sicht angesprochen.

00:53:05: Diese Abhängigkeiten die wir haben sei es jetzt die Abhängigkeit durch SRS Anbieter Managed Service an Bieter Hersteller Plattform etc.

00:53:14: pp.

00:53:15: wenn manches davon mag sinnvoll sein manches Davon ist nicht sinnvoll Wenn wir nochmal auf diese Abhängigkeiten zurückkommen.

00:53:22: das werden wir heute in unserer schönen illustren Runde Nicht gelöst bekommen.

00:53:26: Wir können es aber glaube ich für unsere Hörerinnen und Hörern eindämmen Und etwas einordnen wo wir halt sagen hey Gewisse Abhängigkeiten sind, vorsichtig gesprochen okay.

00:53:35: Andere Abhängigkeiten sollte man unbedingt vermeiden und da würde ich sagen mal so ein bisschen einmal von der rechtlichen Seite den Herr Bachmann einladen was sollte denn ein Unternehmer tunlichst vermeiden in Sachen Abhängigkeit?

00:53:52: In diesen angesprochenen Bereichen?

00:53:55: Es sollte sich seiner Lieferkettenverantwortung mal langsam bewusst werden.

00:53:59: Also alles das was ich einsetze, was ich vertreibe und was ich zu weiteren Komponenten zusammen baue, da muss ich tatsächlich dafür mittlerweile Verantwortung bevertragen wo es herkommt und welchen Standards das genügt.

00:54:10: Und das betrifft eben nicht nur die im Kern regulierten Unternehmen sondern mittlerweile das kennen wir aus der Automobil- und anderen großen OEMs Drücken natürlich und delegieren all das, was sie selber an Standards bedienen müssen komplett runter auf die Gesamtzuliebverkette.

00:54:27: Selbst der Anbieter von Messanlagen, die Wasserstände- und Durchflussgeschwindigkeiten messen, regeln können, die selber weder NES II noch sonst etwas sind.

00:54:38: Die liefern natürlich für... Kommunen für Regionalverbände, für sonst was.

00:54:43: Genau diese Dinge zur Kontrolle von Hochwasserständen und sonst was die wieder um ihrerseits den entsprechenden Sicherheitsbedingungen unterliegen.

00:54:50: Also ist dort Sicherheit nicht nur etwas, sprich sage, lästige Auflage, die ich dummerweise bedienen muss sondern Es ist das entscheidende Qualitätskriterium auch für den Verkauf des Produktes.

00:55:01: Wenn ich nicht nur die funktionale Eigenschaft habe und die funktionale Qualität, dann werde ich künftig in den Märkten mit diesen Produkten nicht mehr reagieren können.

00:55:10: Ich muss bedienen können dass die tastseitig nach dem Stand der Technik, dem stand der Sicherheitstechnik auch entsprechen.

00:55:17: Und da gehört genau dazu was wir hier heute umfangreich und detailliert auch geschrieben haben.

00:55:23: Sven aus deiner Sicht

00:55:25: Also, in meiner Entschuldigung frage ich zum Schluss immer wer eigentlich für Datenschutz und Informationssicherheit verantwortlich ist.

00:55:30: Und denn hin und wieder kommt immer noch sieher Barsch.

00:55:34: Was sage ich mal?

00:55:34: Nein, ein paar lachen dann auch.

00:55:37: Sagen Sie noch der Geschäftsführer oder langsam auch nochmal.

00:55:39: Dann sage ich immer ihr wisst doch habe ich doch bei der Folie da ganz am Anfang gesagt jeder von euch einzeln.

00:55:44: Jeder ist dafür ein bisschen zuständig dass das alles hier vernünftig läuft.

00:55:50: Der Geschäftsführer, und das hat der Männer vorhin schon gesagt.

00:55:52: Er ist dafür verantwortlich wenn was passiert.

00:55:55: Und dann sind wir auch mit der gesamten Kette unterwegs, was er dann installiert hat um dafür zu sorgen dass er eben nicht in den Knast kommt sondern dass irgendjemand oder dass er halt einfach nur gut dasteht gegenüber dem Gesetz.

00:56:06: weil der normale Mitarbeiter wird wahrscheinlich sowieso nicht irgendwie dafür zur Rechenschaft gezogen solange er sich halbwegs vernünftig verhalten hat aber es lange das nicht funktioniert.

00:56:16: Das sind so diese Standard-Sachen, haltet euch an Prozesse, steckt ja nicht irgendwie IT ein oder ein USB-Stick und so weiter.

00:56:25: Also eigentlich die rudimentären Dinge, die wir an alten Ecken und Kanten in Sachen IT-Sicherheit immer wieder hören – obwohl ja auch große Unternehmen immer wieder gerne Testmails durch die Gegend schicken und versuchen herauszufinden welcher der eigenen Mitarbeiter muss nochmal ein wenig sensibilisiert werden dafür dass man diverse Links und Anhänge nicht öffnet.

00:56:46: Das gute alte Katzenbild ist aber verlockend.

00:56:49: Ja, auch so Standard Sachen wie Multi-Multi Faktor Authentifizierung.

00:56:52: Ich verstehe das immer noch nicht, dass meine Unternehmen das immer nur nicht haben also es geht mir nicht in den Schädel einfach rein.

00:56:57: ich kann das nicht verstehen.

00:56:59: Das kann man mittlerweile eigentlich so ziemlich von Single Count bis... Zu Microsoft, drei fünf sechszig kann ich das immer irgendwie einrichten.

00:57:07: Dass sich eine Multifaktor Identifizierung habe und manche Unternehmen haben es denn nicht oder ich höre dann immer noch als Ausnahme hat der Geschäftsführer oder der CFO den ist das zu viel.

00:57:18: Herzlichen Glückwunsch!

00:57:20: Wobei Sicherheit eigentlich in der heutigen Zeit und auch in der Angreifbarkeit die da existent ist dass Oberste Maß sein sollte dabei.

00:57:29: aber das bringt mich dazu Tim du bist ja nun mal selber da viel unterwegs und so betreibst ja auch ein Netzwerk, was ja Angriffe auch visualisiert.

00:57:39: Und wie wir letztens mal sprachen hast du mir erzählt, wie viele Tausend Angriffs deine Server am Tag so abbekommen?

00:57:46: Was sollte denn den Geschäftsführer seinem IT-Verantwortlichen mit auf den Weg geben?

00:57:52: Naja also die meisten für IT-Vertraue sind von mine to five bei der Arbeit aber Die Angriffe passieren natürlich nicht dann, wenn der Hofbetrieb ist oder genau dann, wann das sich erwartet.

00:58:05: Also ich sage mal so IT-Sicherheit beginnt da, wenn die Wasserkeit da ist und auch vor allem auch das Verständnis dafür da ist dass jedes System was Menschen erschaffen worden ist aber natürlich auch manipulierbar gehackt werden kann oder irgendwas in die Richtung deswegen achtsam sein Vor allen Dingen für sich selber den Notfallplan nicht irgendwo in der Schublade haben, sondern auch tatsächlich im Zweisfall ihn mal leben.

00:58:31: Auch wenn mal der Geschäftsführer vielleicht einen Tag in halbem Tag keine E-Mails hat und auch gucken, dass meine Notfallszenarien funktionieren auch vielleicht mal auf Leute hören oder über einen Tenner ran, die nachschauen und nicht auf große Konzerne spekulieren und gute davon kaufen.

00:58:45: Sondern auch vielleicht sich selber Gedanken machen wie kann ich meine Infrastruktur so schützen?

00:58:49: So Design drückt man sowas so aus dass sie eventuell auch möglichen potenziellen Angriffe standhält?

00:58:54: weil auch das ist ein Thema bei der Komponentenauswahl.

00:58:57: nochmal ganz kurz zurückgetreten was da gesagt hat.

00:59:00: Auch das ist ein Thema.

00:59:01: Man hat Komponenten irgendwann ausgewählt oder es gibt auch Hersteller, wo man gesagt hat, Bodies sind super.

00:59:06: Wo sie im Nachgang rausgestellt worden ist, das waren auf einmal siebzehntausend Router in Europa betroffen die offen standen wie Scheuntrohr und das waren keine Geräte für hundert Euro.

00:59:15: Das waren deutlich teure Geräte und dafür gab es keine Lösungen.

00:59:18: Aber da sollte man sich Gedanken haben, vielleicht auch nicht eventuell auf die Aktienkurse von Groß oder Neben zu achten... ...die Security-Lösung an Beaten wie Crowdstrike der Infall hatten wir schon, wo ein bisschen was in die Kurze ging vor zwei Hangknappen.

00:59:30: Sondern wirklich halt überlegen, wie schützt man seine Infrastruktur?

00:59:32: Und was ist der Notfallplan dahinter?

00:59:34: Weil Schlussendlich läuft's darauf hinaus, dass der Notfallsplan eher der Plan ist den man am ersten Moment schneller braucht als das im Lieb ist.

00:59:41: Und das passiert ja gar nicht hin sich mit Datenverschlüsselung und Co.. Auch diese Firmen haben gerade hohe Nektur.

00:59:46: Tim, deine Ausführungen geben mir ehrlich gestanden Gelegenheit zum Schluss vorzukommen.

00:59:51: Als erstes muss ich feststellen bedanke mich ganz recht herzlich bei euch für die Diskussion Denn ehrlich gestand ich habe mir geredet als ich eigentlich vorgehabt habe Und das ist schon mal ein Zeichen dafür dass es äußerst interessant und unterhaltsam gewesen ist und mir persönlich sehr viel gebracht hat.

01:00:05: Gebracht hat es auf der einen Seite die große Erkenntnis, wir haben noch viel zu tun.

01:00:10: Es scheint arg viel im Arken zu liegen wie gerade an den letzten Worten dem erkennbar ist.

01:00:15: Ich sehe aber und das ist das herfreuliche sehr viele Ansätze die jetzige Situation zu verändern Viele Anreize viele Möglichkeiten für große und kleine Player hieran mitzuwirken Und hoffe von daher gesehen dass das was wir eingangs diskutiert haben und ich sage es ausdrücklich an dem Beispielsfall SunGrow Dass so etwas in der Zukunft nicht zu schnell wieder in der Öffentlichkeit erscheint, nicht weil man es unter den Teppich kehrt sondern schlichtweg weil das einfach nicht mehr eingetreten ist und Sicherheitslücken im IT-Bereich geschlossen.

01:00:48: Und die Sensibilität für IT-Sicherheit deutlich angestiegen

01:00:52: ist.".

01:00:56: Das waren die aktuelle Folge von Nödinger und Fokus Wattenlohn.

01:01:00: In unserer Folge mit REFU Electronic ging es um die Frage wer die digitalen Funktion einer PV Anlage kontrolliert?

01:01:06: Heute haben wir den Blick auf die Unternehmen dahinter erweitert.

01:01:09: Wer hat Zugriff auf diese Systeme, wer übernimmt Verantwortung und bleiben behandlungsfähig wenn etwas ausfällt?

01:01:15: Zwei Gespräche, die zusammen gehören – Wenn Sie die Refo-Folge noch nicht gehört haben, nehmen sie sich dafür gern Zeit!

01:01:20: Sie ergänzt die heutige Diskussion um dem Blick auf Die Wechselrichter, Fernzugriffe und die Beschaffung von Energieanlagen.

01:01:27: Vielen Dank an Tim Schulze von OpenIT, Sven Baatsch von Secure Data und Werner Bachmann von Gannakuk Und danke auch dir Dirk für das gemeinsame Gespräch.

01:01:35: Vor allem aber danke Ihnen fürs Zuhören.

01:01:37: Mein Name ist Michael Nöding, bleiben Sie neugierig, schauen Sie genauer hin und bis zur nächsten Folge von Nöden und Vogels Watten Law!