Digitale Souveränität TeleTrusT Podcast

Herzlich willkommen beim Teletrust Podcast live von der ITSA heute 2022. Mein Name ist Franziska Bock und ich freue mich, meine Gäste begrüßen zu dürfen. Zu meiner linken sitzt Torsten Obansky und zu meiner rechten Markus Bartsch.

Wir sprechen heute über das Thema digitale Souveränität. Aber natürlich möchte ich vorher noch mal ganz kurz meine Gäste vorstellen. Torsten Obansky, Head of Communication and Public Relation in der DACH-Region bei ESIT Deutschland GmbH.

Seit mehr als 20 Jahren hat er Berufserfahrung in der IT-Industrie und ist seit 2017 verantwortlich für den Kommunikationsbereich in der DACH-Region. Unter anderem ist er auch ebenfalls Leiter der Teletrust-Arbeitsgruppe IT Security Made in EU. Markus Bartsch arbeitet seit 1995 bei der TÜV-Informationstechnik GmbH TÜV-IT, ein Unternehmen der TÜV Nord-Gruppe.

Seit vielen Jahren verantwortlich ist er für Querschnittsthemen, die sich aktuell aus den immer größer werdenden Potenzialen des Einsatzes von Verteiler-IT und den daraus resultierenden IT-Security-Risiken, insbesondere bei folgenden Themen, beispielsweise IoT, Smart Grids, Automotive Security etc. Zusätzlich ist er ebenfalls Leiter des Teletrust-Arbeitskreises RSA. Und ich freue mich, die beiden heute begrüßen zu dürfen.

Danke, dass ihr da seid. Hallo, vielen Dank für die Einladung. Ja, vielen Dank für die Einladung.

Sehr gerne. Ich freue mich, heute mit euch über das Thema digitale Souveränität zu sprechen. Und natürlich ist da erstmal meine Eingangsfrage, was ist eigentlich digitale Souveränität? Mögt ihr darauf kurz eingehen? Ja, das Wirtschaftsministerium hat das vor ungefähr einem Jahr, also das alte Wirtschaftsministerium, vor einem Jahr definiert.

Und die haben eine Schwerpunktstudie digitale Souveränität herausgegeben, 2021. Und dort wird dann unterschieden zwischen grundsätzlicher staatlicher Souveränität nach innen und nach außen. Und die digitale Souveränität ist dann ein Teilaspekt der Souveränität.

Und dort hat man dann hervorgehoben, inwieweit eigene Soft- und Hardware in unserem Land erstellt oder erzeugt oder gebaut werden kann, wie man seine eigenen Daten schützt und wie man überhaupt mit Daten und Prozessen umgeht. Und woraus ich dann auch entnehme, es geht um Informationen, die eben auch für unseren Staat wichtig sind oder vielleicht eben nicht so wichtig sind. Darum geht es bei digitaler Souveränität.

Würdest du dem so zustimmen? Definitiv. Ich meine, digitale Souveränität, wenn man das ganze Konstrukt, was der Markus ja auch schon schön erklärt hat, ist, wir haben da drei Dimensionen eigentlich. Wir haben eine staatliche Dimension, wir haben eine wirtschaftliche Dimension und eine individuelle Dimension.

Sprich, einmal das, was der Staat an Services liefert, Rahmenbedingungen setzt, wirtschaftlicher Aspekt. Da spielt natürlich dann auch die Frage der Selbstbestimmung, das heißt des Schutzes von Assets auch eine große Rolle. Und natürlich die individuelle, was wir jeder als Bürger kennen, ist der Aspekt natürlich, welche Services kann ich nutzen, was ist mit meinen personenbezogenen Daten, wie wird das geschützt, wie sind Rahmenbedingungen dafür zu setzen, welche Tools setzt man gegebenenfalls dort dann auch ein.

Klar, das ist ein Riesenthema, nicht einfach zu fassen, also so wie du es auch schon eingangs erklärt hast, das auf digitale Souveränität dann zu packen. Und ich glaube, da sind wir alle sehr, sehr gefordert, also vor allem Deutschland, aber auch Europa ganz klar. Okay, vielen Dank.

Soweit erstmal. Ich habe ja gesehen, ihr hattet letztens erst einen Vortrag zu dem Thema digitale Souveränität. Da seid ihr besonders darauf eingegangen, dass ihr, um die Definition der digitalen Souveränität zu bieten, digital und Souveränität getrennt habt und jedes für sich erstmal erklärt und definiert habt und dann die Überschneidungspunkte aufgezeigt habt.

Könnt ihr darauf nochmal ein bisschen genauer eingehen? Ja, also wie ich bereits sagte, es gibt da die innere Souveränität eines Staates im Innenverhältnis, also wie arbeiten die Behörden, wie funktioniert der gesamte Apparat und natürlich die äußere Souveränität, das heißt also, inwieweit kann ich als Staat souverän im internationalen Kontext auftreten. Wenn man das jetzt auf das digitale Map, was ja dann eben laut der Definition ein Teilaspekt ist, dann sollten wir uns natürlich jetzt in unserer Betrachtung erstmal auf

die äußere Souveränität beziehen. Das heißt also, in diesem Kontext, inwieweit schützt Deutschland oder Europa seine eigenen Daten gegenüber anderen Volkswirtschaften? Beziehungsweise inwieweit können andere Volkswirtschaften eventuell an irgendwelche Daten rankommen, die wir aber eigentlich gar nicht gerne zur Verfügung stellen wollen? Und da gibt es natürlich jetzt auch aktuell ein paar Beispiele, wo man sagen kann, läuft nicht ganz so gut für Europa und Deutschland.

Ich weiß genau, auf welches Beispiel du hinaus möchtest, darauf gehen wir auch gleich ein. Dazu habe ich natürlich auch ein paar Fragen, aber wir haben jetzt so oft schon das Thema der Definition thematisiert und ich wollte erstmal fragen, halten wir denn uns überhaupt an diese Definition der digitalen Souveränität? Naja, also die große Frage, die man sich da immer stellen muss, haben wir überhaupt noch die digitale Souveränität oder was müssen wir dafür tun, diese wieder zu erlangen oder um auch diese zu schützen? Ich glaube, gerade auch in dem jetzigen Kontext, also betrachten wir beispielsweise die, Kanzler Olaf Scholz sagte, Zeitenwende, gerade auch im geopolitischen Kontext. Und da stellt sich natürlich immer die Frage, wie muss ich mich aufstellen? Und meiner Einschätzung nach ist es schwierig, wenn Deutschland das alleine versucht.

Ich glaube, das brauchen wir auf Europa, brauchen wir Rahmenbedingungen, die gesetzt sind. Das wird natürlich im Rahmen des europäischen Föderalismus natürlich nicht sehr einfach, denn man hat auch noch innerhalb Europas eigene Interessen, der Staaten. Und ich glaube, da brauchen wir erstmal eine Definition, was wir da erreichen wollen.

Was sind die Rahmenbedingungen? Man kann auch sagen, Spielregeln, also welche Spielregeln habe ich da? Und vor allem, wie schütze ich das ein? Also, Markus hat ja angefangen gesagt, es geht um Informationen, es geht um Daten. Da ist die große Frage, hängen wir da hinterher? Wie weit hängen wir da hinterher? Und in welchen Bereichen sind wir in der Lage, auch souverän zu handeln? Oder was brauchen wir überhaupt, um digital souverän zu sein und das überhaupt zu schützen? Redest du jetzt generell als Staat oder als Unternehmen? Ich glaube, das kann man gar nicht mehr so differenzieren. Natürlich gibt der Staat Rahmenbedingungen vor.

Er muss diese vorgeben, auch rechtlicher Hinsicht. Deswegen ist er da. Er sagt auch beispielsweise, oder muss es sagen, also welche Voraussetzungen habe ich? Wie wären Testszenarien, zum Beispiel Anforderungen an IT? Und das spielt ja auch unweigerlich auch immer im Kontext der wirtschaftlichen Autonomie eine Rolle.

Klar, nicht missverstehen. Mir geht es nicht darum, dass wir sagen, wir sind eine Insel. Das ist Unfug.

Wir sind im internationalen Warenaustausch. Aber wir müssen schon schauen, dass wir unseren europäischen Weg finden oder für Deutschland. Wie schützen wir unsere Wirtschaft überhaupt? Wie können wir das effektiv machen? Und vor allem, wie schützen wir vor Espionage die Unternehmen, Datenabfluss? Also wirklich Assets, die auch wirklich essentiell sind, gerade auch für Deutschland.

Denn wir sind jetzt nicht das Rohstoffland. Das muss man ganz klar sehen. Das haben wir schmerzlich erfahren im Kontext des Ukrainekriegs und auch der Gaskrise.

Und was müssen wir da eigentlich noch alles tun? Ich glaube, die Basis ist der Staat. Aber die Wirtschaft muss auch souverän denken. Hättet ihr da Ansatzpunkte, wo man anfangen kann? Ja, jetzt haben wir einen aktuellen Anknüpfungspunkt.

Hafen Hamburg ist in aller Munde. Da ist es natürlich interessant. Ich denke mir mal, mit dem Kompromiss, der jetzt beschlossen worden ist, hat Costco aus China offensichtlich nicht so viel Mitspracherecht.

Aber wenn natürlich ein Unternehmen in ein Hafenterminal einsteigt, dann hat dieses Unternehmen auf jeden Fall dann Zugang zu dem gesamten Warenverkehr an diesem Terminal. Also die Waren, die rein und die raus gehen. Wenn man das weiß, dann muss man auch überlegen, soll das denn so sein? Soll ein chinesisches staatliches Unternehmen den Zugang dazu haben? Was vielleicht dann auch gar nicht so schlimm wäre.

Das gleiche chinesische Unternehmen hat aber auch natürlich Zugriff auf die Informationen in Antwerpen, in Rotterdam, in Piraeus, Le Havre. Also insgesamt 14 Häfen von Europa. Und da muss man sagen, haben die einen gewissen Informationsvorteil.

Der Hamburger Hafen weiß grundsätzlich nicht, was in Antwerpen oder in Rotterdam rein und raus geht. Aber einer weiß es. Es ist ungefähr so, als wenn man sagen würde,

die europäischen Hafenbetreiber sitzen an einem Pokertisch und gucken dann, wie sie am besten spielen und den anderen austricksen und möglichst gewinnbringend arbeiten können.

Und das Casino wird betrieben von FINA mit dem Unterfied zum normalen Pokerspiel. Der Casinobetreiber darf in jede Karten gucken. Und damit haben wir eine massive Informationsasymmetrie.

Das heißt, die Seidenstraße, die FINA auch immer predigt, ist gerade im Aufbau. Und in dieser Phase bekommen die erstmal einen großen Datenzugriff und Informationszugriff auf das, was in Europa im Seehandel passiert. Und ich weiß nicht, ob das allen so bewusst ist, dass das so passieren wird.

Wenn es den Leuten bewusst ist, dann würde ich sagen, hängt unsere digitale Souveränität beim Handel gerade doch auch sehr von FINA ab. Verstehe. Markus, erstmal vielen Dank dafür.

Wir haben ja auch viele Anfänger beziehungsweise Menschen, die den Podcast hören, die noch nicht so tief in der IT-Sicherheit sind wie ihr. Wir versuchen daher ja auch immer ganz von Anfang die Themen aufzugreifen und aufzuwickeln. Was ist Informationsasymmetrie an der einen Stelle? Und du hast es ja schon so angedeutet, soll das so sein? Ich denke nicht, dass es so sein soll.

Aber wie kann das passieren? Kannst du da ein bisschen die Zuhörer am Anfang mitnehmen? Also normalerweise, wenn man jetzt über Cybersecurity-Maßnahmen spricht, dann spricht man davon, gewisse Daten sind höchst vertraulich, die möchte man nicht rausgeben. Und dann gibt es eben Cybersecurity-Vorfälle oder Cyberkriminelle, die eben an diese Daten ran wollen, damit sie einen Vorteil haben. Also Informationen erstmal zu gewinnen, um einen eigenen Vorteil rauszuziehen.

Deswegen schützt man ja auch die Daten, damit so etwas nicht passiert. In diesem speziellen Fall reden wir aber gerade, also Hafen, reden wir gerade nicht von einer cyberkriminellen Handlung. Es ist ein vollkommen legaler Vorgang.

Das heißt, wir geben diese Daten in diesem Fall freiwillig raus. Und das ist natürlich der Punkt, wo ich sagen muss, auf der einen Seite halten wir Vorträge über digitale Souveränität, wie schützen wir unsere Daten, damit andere nicht rankommen. Und jetzt haben wir ein Beispiel, wir geben die ja freiwillig raus.

Warum noch über digitale Souveränität sprechen? Muss man jetzt nicht mehr tun. Und das ist so ein bisschen erfreckend. Ja, auf jeden Fall.

Also für Außenstehende mag das ja so erscheinen, Ihr predigt auf der einen Seite und auf der anderen Seite wird einfach ins Land eingelaufen oder einmarschiert, ohne das, was dagegen unternommen wird. Wie kann das sein? Also wie hängt da die Wirtschaft auch zusammen? Ja gut, ich muss sagen, es ist eine ökonomisch-politische Entscheidung. Ich glaube, in dem Kontext muss man sich immer fragen, also wie schütze ich meine Daten? Das was der Markus auch sagte, wie bekomme ich diese Hoheit wieder zurück? In den vergangenen Dekaden haben wir ja gesehen, was es eigentlich bedeutet, wenn ich einen Ausverkauf von einzelnen Segmenten mache, sei es jetzt Hardwareproduktion, Chipproduktion etc.

oder auch Mobiltelefonproduktion, wo ich dann also Kompetenzen verliere. Dann ist die Frage natürlich, wenn ich das schützen möchte, also meine Kronjuwelen, Assets etc., geht es aber auf den Punkt kriminelle oder staatliche Akteure auf ein, dann ist natürlich die Frage, bin ich dazu in der Lage eigentlich in Europa das zu machen. Und ich finde, ich glaube auch gerade das, was Teletrust, der seit vielen Jahren vorantreibt, beispielsweise mit der Initiative IT Security Made in EU, da ist ja eigentlich die gute Nachricht, dass wir, was das Spektrum Protection angeht, das heißt Schutz, da autark sehr wohl sein können.

Das heißt nicht, dass wir unseren Markt abschotten, das wäre Quatsch, weil alle Akteure auch international unterwegs sind, aber da können wir Rahmenbedingungen vorgeben. Zum Beispiel, wir haben es ja gesehen mit DSGVO, die auch dazu geführt hat, so ein Umdenken zu dem ganzen Thema, das heißt, wie schütze ich personenbezogene Daten in dem Kontext. Und jetzt zum Beispiel müssen wir noch viel stärker als zuvor darüber nachdenken, wie schütze ich meine Wirtschaft, wie schütze ich kritische Infrastrukturen vor den Angriff staatlicher Akteure.

Und da sind wir eigentlich sehr, sehr gut aufgestellt hier in Europa, wir sind auch sehr gut vernetzt. Wir müssen uns nur eigentlich auch bewusst werden, dass wir als Europäer den Rahmen vorgeben sollten und nicht andere. Ich glaube, das ist ganz, ganz wichtig.

Wir müssen einfach ein bisschen mutiger werden, was das Thema angeht. Und im IT-Security-Bereich sehe ich jetzt nicht, dass wir hinter anderen Staaten oder anderen Kontinenten hinterherhängen. Also da sind wir wirklich sehr gut aufgestellt.

Ja, aber muss man jetzt trotzdem dazu sagen, wir sind sehr gut aufgestellt, was IT-Security angeht. Wir wissen, wie man Daten schützt. Wir wissen, wie man damit umgeht.

Es nützt aber natürlich überhaupt nichts, wenn dieser Schutz gar nicht verlangt wird oder gebraucht wird. Also wenn man freiwillig natürlich Daten oder Informationen rausgibt, dann nützt natürlich jeglicher Schutz nichts mehr. Also dann kann man es auch gleich lassen.

Und das ist das große Problem. Hier kommen quasi kurzfristige Business-Ziele Hafen Hamburg in Deutschland, prallen dann auf langfristige Wirtschaftsziele China. Und da frage ich mich, wer dann in der langen Frist irgendwo einen Vorteil hat.

Europa wahrscheinlich eher nicht. Also die Chinesen machen verdammt viel richtig. Was im Umkehrschluss bedeutet, wir machen vielleicht dann nicht ganz so viele Dinge so richtig.

Okay, vielen Dank für das aktuelle Beispiel des Hamburger Hafens. Aber ich möchte da jetzt auch ein bisschen weg von, weil ich denke, die letzten ein, zwei Jahre hatten wir auch im Kontext der Corona-Pandemie einige andere Beispiele. Wie hat sich denn die Bedrohungslage seit oder erst recht durch Corona verändert? Was gab es da für Learnings, die wir daraus ziehen konnten? Also das war natürlich für alle Unternehmen eine große Herausforderung.

Ich meine, wir haben ja in den Medien immer wieder gelesen, es waren keine Laptops vorhanden. Es waren zu wenig Devices generell vorhanden. Leute sind alle halt ins Homeoffice gegangen, haben da ihre Privatrechner genommen.

Das war ja Tür und Tor offen. Also allein wenn wir uns die Sachen aufs RDP-Protokoll angucken, also die Angriffe da drauf, haben wir ja teilweise 200 Milliarden Angriffe pro Tag. Und das hat ein Stück gedauert, muss man sagen.

Es sind sicherlich nicht alle Unternehmen immer noch nicht so perfekt aufgestellt. Aber es hat zum Umdenken geführt. Das heißt also, IT-Sicherheit wurde offenbar klar.

Moment, ich habe jetzt ganz viele neue Angriffsvektoren, die ganzen Devices zu Hause. Das muss ich verändern. Und ich glaube auch, der nächste Schub, den wir jetzt gerade sehen, deswegen erlaubt mir einfach Franziska mal so auf die Ukraine noch mal einzugehen, was wir da also beobachten.

Das heißt also, in der Ukraine haben wir eine Situation, wir haben ja nicht erst Cyber-Angriffe am 23. Februar gehabt. Das heißt also, elf Stunden, am 24.

Februar, ist dann die Ukraine angegriffen, Invasion. Elf Stunden vorher haben die angegriffen. Massiven Wiper-Angriff, das heißt, wo man wirklich versucht hatte, Systeme zu löschen.

Wir konnten da nachweisen, über 100 Systeme, mehr als fünf Organisationen, wo wir Angriffe gestoppt haben, mit unserer Technologie in der Ukraine. Aber es geht eigentlich acht Jahre zurück. Seit acht Jahren steht dieses Land sozusagen unter Dauerbeschuss.

Das hat mein Vortrag hier gesagt, in the line of fire. Was wir aber auch gesehen haben, ist, welche Kollateralschäden da stattgefunden haben. Beispielsweise mit den Windkraftanlagen in Deutschland, was wir dort beobachtet haben.

Aber wir können mal zurückgehen auf 2017. Das haben viele gar nicht mehr so im Kopf. NotPetya, die Ransomware.

Da haben wir erst analysiert, haben gesagt, dass diese Malware, diese Ransomware, war überhaupt gar nicht vorgesehen, um Unternehmen zu erpressen. In Deutschland, in den USA, etc. Sondern sie war ausschließlich eigentlich vorgesehen, auf die Ukraine.

Das heißt, Zahlungsverkehr, Supermärkte, Einkaufen zu stoppen, etc. Aber es ist rübergeschwappt. Das sehen wir immer wieder.

Das heißt, wir hatten Nordamerika-Unternehmen, europastarke Unternehmen, die betroffen waren. Und das sehen wir auch in anderen europäischen Ländern. Ich glaube, auch die kleine Anfrage der CDU-CSU-Fraktion am 12.

Oktober war ja, wie viele IT-Störungen hatten wir denn seit dem Ukraine-Krieg in Deutschland? Da kommen wir auf 253. Ich finde, das ist eine ganze Menge. Und da besprechen wir nur über Kritis, die unter Definition Kritis fällt.

Ja, vor allen Dingen sprechen wir nur darüber, welche überhaupt bemerkt worden sind. Wir hatten schon eine Folge zum Thema Ransomware. Und da habe ich daraus gelernt, dass viele Angriffe gar nicht bemerkt werden.

Erster Punkt. Oder zweiter Punkt, dass viele Unternehmen auch gar nicht damit an die Öffentlichkeit gehen wollen. Dass ein Lack gefunden worden ist, wo man eindringen konnte.

Aus Scham, aus wirtschaftlichen Gründen usw. Ja, aber dann auch noch grundsätzlich darüber hinaus. Wir müssen natürlich, wenn wir auf die Weltkarte mal gucken, einzelne Staaten können wir jetzt auch mal ausklammern, die vielleicht auch noch einigermaßen IT-affin sind.

Aber wenn wir einfach nur die USA nehmen, Europa und China und diese großen Volkswirtschaften, was die Digitalisierung angeht, miteinander vergleicht, dann kann man natürlich von sagen, 1. und 2. Welt kann man sich darüber streiten, wer das dann sein kann. Aber es ist dann auch ganz klar zum jetzigen Zeitpunkt, Europa ist digital dann die 3. Welt, wenn man dann so ein Ranking macht. Und wir müssen uns natürlich dann auch die Frage stellen, wie können wir da wieder aufholen? Und die andere sehr kätzerische Frage, brauchen wir da digitale Entwicklungshilfe und von wem holen wir die uns? Und diese Frage muss man sich wirklich stellen und nicht einfach sagen, ach, jetzt bauen wir Gaia-X, jetzt holen wir das Ganze auf, das kriegen wir auch von ganz alleine hin.

Das wird A nur gehen, wenn Europa zusammenarbeitet und sich nicht wegen Einzelinteressen die einzelnen Staaten dann auch gegenseitig ausspielen innerhalb von Europa. Und man muss da natürlich auch wirklich massiv aufrüsten. Und das sehe ich bisher noch nicht.

Markus, du hast ja selbst die Frage gestellt, wie können wir da aufholen? Geh da mal ein bisschen tiefer rein, bitte. Du hast es nur so angeschnitten. Ja, ich habe es leider nur angeschnitten, weil meine Meinung wäre, eigentlich brauchen wir dann natürlich auch in einer gewissen Form Entwicklungshilfe.

Sicherlich in der jetzigen weltpolitischen Situation läuft es wahrscheinlich von darauf hinaus, dass wir irgendwo die Technologien, die eher aus der USA kommen, die haben ja auch die Basistechnologien, dass wir mit denen mehr zusammenarbeiten müssen, damit wir wieder richtig auf das digitale Pferd draufkommen. Aber sind wir da nicht wieder wirtschaftlich, politisch von der USA abhängig? Wollen wir da nicht mal weg? Okay, das wäre die Alternative. Das frage ich dich.

Wenn man ein Entwicklungsland ist. Was soll man machen? Ja, selber auch aufrüsten, eigene Chipfertigung in Europa haben, eigene Software in Europa entwickeln. Hier und da gibt es das ja auch.

Natürlich muss da mehr und mehr gemacht werden, aber dann sicherlich macht es dann auch Sinn im europäischen Kontext und nicht gegeneinander. Und zum jetzigen Zeitpunkt ist es aber so. Die Betriebssysteme kommen aus den USA oder zum Teil auch aus China.

Bestimmte Softwareapplikationen und Geräte kommen auch aus diesen Ländern. Gewisse Chips kommen auch aus diesen Ländern. Die ganzen Cloud-Architekturen sind eher USA-dominant.

Da kann man jetzt nicht sagen, wir schmeißen das alles raus und wir machen es neu. Dann fangen wir quasi im Jahr 1980 an. Das geht nicht.

Das heißt, wir müssen dann mit den Ländern zusammenarbeiten. Und die Frage, die sich dann eben stellt, ist, nehmen wir lieber etwas aus dem Westen oder lieber was aus dem Osten oder von beiden? Und dann ist dann die nächste Frage, sind wir dann auch digital souverän? Wo seht ihr zukünftig den Stellenwert von digitaler Souveränität, wenn wir jetzt nicht aufrüsten und Gas geben? Worin geht deine Frage jetzt? Was müsste die Rahmenbedingungen sein, dass die digitale Souveränität gestärkt wird? Ich glaube, ganz wichtig, was der Markus auch schon sagte, ist, dass wir, ich komme wieder zurück, europäisch denken, dass wir gemeinsam das machen. Weil wir sind ein elementar wichtiger Wirtschaftsraum, immer noch zum Glück.

Ich bin nicht ganz so optimistisch, was die Chipproduktion angeht. Ich glaube, wenn man sich da unterhält, das wird, glaube ich, eine Kraftanstrengung. Das wird äußerst schwierig.

Aber im Softwarebereich oder auch selbst in Cloud, glaube ich, wenn wir das wirklich vorantreiben wollen, dann können wir das auf europäischer Ebene. Aber wir müssen da eigentlich mal, ich sage mal so, wir müssen liefern. Das heißt, wir müssen nicht über Dinge lange reden.

In der Zeit, wo wir über Infrastrukturen reden in Deutschland, andere haben da schon ganz einen Schritt weiter, haben schon die Version 4.0. Und wir diskutieren noch über Rahmenbedingungen. Ich glaube, das muss einfach viel schneller gehen. Ich hoffe, das hat man auch verstanden, gerade aktuell, im Kontext der geopolitischen Spannung auch.

Also bei Chips bin ich nicht so optimistisch. Bei Software, bei Betriebssystemen, ja, ich würde sagen, Industriesektor okay. Bei anderen Bereichen, glaube ich, wird das auch sehr, sehr schwierig.

Ich glaube, vielleicht muss man sich die generelle Frage stellen, das, was Markus auch angesprochen hat, das ist, von wem möchte ich das haben? Möchte ich z.B. IT-Sicherheitslösungen, jetzt mal darauf zurückzuhauen, oder andere Verschlüsselungen etc. oder Betriebssysteme, möchte ich das einsetzen aus Ländern, die mein Weltbild teilen, also mein Demokratieverständnis beispielsweise, oder nicht? Das ist aber eine politische Entscheidung. Wirtschaft kann das aber für sich entscheiden.

Das geht also auch. Das heißt, nehme ich Komponenten, wo ich nicht genau weiß, was eine Einflussnahme jetzt darstellen könnte, oder nicht, oder nehme ich etwas aus der westlichen Atmosphäre, wo ich weiß, okay, da gibt es auch Reibungspunkte, da machen wir uns nichts vor, und auch Einflussnahmen, aber wo ich ein wenigstens geteiltes Weltbild habe. Vielleicht noch dazu.

In der Zukunft wird die Volkswirtschaft extrem stark vom Digitalisierungsgrad eines Staates abhängen. Das heißt, je mehr der durchdigitalisiert ist, desto erfolgreicher wird er auch wirtschaftlich sein. Wenn man das dann weiterdenkt, dann muss man sagen, wenn man dann immer noch eine Digitalkolonie ist und quasi nur Konsument ist von Technologien anderer Länder und Lösungen anderer Länder, dann ist man natürlich in diesem Rückfluss dann auch irgendwann eine wirtschaftliche Kolonie.

Wenn man das nicht möchte, muss man natürlich selber mal ordentlich Gas geben und das richtige Digitalisierungsverständnis haben. Auch in der Politik. Das vermisse ich auch auf jeden Fall bei uns.

Denn das Verständnis ist gerade offensichtlich noch nicht da. Aber das bemerken wir ja öfter nicht nur im Zusammenhang der digitalen Souveränität, sondern auch im Zusammenhang anderer IT-Security-Themenbereiche, dass die Digitalisierung in Deutschland leider nicht vorangeschritten ist. Aber es ist besonders durch die Corona-Situation zutage getreten.

Ich bin da jetzt nicht ganz so düster im Ausblick dabei. Also ich glaube mit Covid-19, das ist nicht alles rund gelaufen, machen wir uns nichts vor. Wenn wir einzelne Services als Bürger nutzen wollen, also das, was Menschen draußen erleben, oder auch als Unternehmen.

Wenn ich Anträge stellen will, allein diese kleinen Aspekte, läuft nicht rund. Ist auch noch abhängig von den Kommunen, muss man auch sagen. Aber ich habe wirklich die Hoffnung, dass jetzt de facto das Negative einer Pandemie einen Push gegeben hat, das Negative einer geopolitischen Krise, wie der Ukraine-Krieg in Europa, dass wir da jetzt doch ein bisschen schneller unterwegs sind.

Ich glaube, das haben die Akteure verstanden und müssen es verstehen. Also ich sage mal, nee, wir werden keine Kolonie. Ich bin da optimistisch.

Aber wir müssen aufpassen, dass wir den Anschluss nicht verlieren. Das ist, glaube ich, ganz wichtig, dass wir den Anschluss nicht verlieren als ökonomisches System hier in Deutschland. Denn wenn wir uns alle Bereiche anschauen, schauen wir uns den Automotive-Sektor an, schauen wir uns allein nur diesen Sektor an.

So ist ja nicht nur die Frage, was für ein tolles Fahrwerk stelle ich her, sondern wie habe ich mein Auto, als in der fahrenden Computer, wir sprechen bei Automobilen überhaupt 60, 80 oder mehr Steuergeräte mittlerweile. Wie habe ich da den Fortschritt im Blick? Und wie bin ich da in der Lage, das Bedürfnis von einzelnen Märkten auch abzubilden? Und da dürfen wir nicht verpassen, den Anschluss wirklich zu verpassen. Da muss man verstehen, Digitalisierung ist überall.

Security ist überall. Das ist jetzt nicht nur irgendwie so ein Fädenstaub, den ich dann rüberpuste zum Schluss, welchen Produkt ich entwickle, sondern von vornherein muss ich bei jeglichen Konzepten bei meinem Business, muss ich es berücksichtigen. Auch genau, was die Cloud angeht, auch genau, was Datenhoheit angeht, wie schütze ich das? Ich bin guter Hoffnung, dass wir es doch jetzt hinkriegen.

Ja, man sieht es jetzt auch hier auf der ITSA. Das heißt also, wenn man hier durch die Gänge geht, sieht man nur fröhliche Gesichter, das Geschäft brummt. Das heißt also, der Bedarf an Digitalisierung und an einer hochsicheren Digitalisierungslösung, der ist ja auf jeden Fall da.

Damit war Corona auch ein Weckruf und wir sind vielleicht auch alle wach geworden und es tut sich extrem viel. Da ist eben nur die Frage, deswegen bin ich mehr der Skeptiker, ich arbeite ja auch beim TÜV, machen wir genug, um dann den Anschluss wiederzubekommen? Das ist genau die Frage. Grundsätzlich, die Technologie- und Lösungsanbieter sind in Deutschland und auch in Europa vertreten.

Das ist alles gar kein Problem. Aber man muss es natürlich dann auch entsprechend abfragen und natürlich mehr und mehr fördern und aufbauen. Ich versuche im Podcast immer, aus den theoretischen Themen der IT-Security auch ein bisschen was Praktisches herauszuholen, insbesondere für Leute, die jetzt, wie gesagt, nicht ganz so tief im Themenbereich sind.

Wenn ein Unternehmer jetzt diesen Podcast hört und er verstanden hat, dass digitale Souveränität nicht nur als Staat, sondern auch als Unternehmen äußerst wichtig ist, welche praktischen drei bis fünf Punkte könnt ihr ihm mit an die Hand geben, wo er besonders erstmal drauf achten sollte, wenn sein IT-Security-Standard noch nicht so hoch im Unternehmen ist oder wo er einfach mit anfangen sollte? Das greife ich ja gerne mal auf. Also Nummer eins ist, er muss das Ganze als Prozess verstehen. IT-Sicherheit verändert sich an den Angriffsszenarien, an sein persönliches Geschäftsfeld, was er neu entwickelt, weiterentwickelt.

Dann ist das Nächste, also wir sind uns, glaube ich, alle einig hier, auch hier auf der ITSA, dass ein Endpoint-Schutz elementar Basis ist, eine Firewall eine Basis ist, eine Mail-Security eine Basis ist, aber das reicht überhaupt gar nicht aus. Das heißt also, die Unternehmen müssen weiterdenken, müssen auch hingehend sagen, also ich meine, ich nehme das Wort jetzt, das schreckt ja manche immer ab, Zero Trust versteht kein Mensch, sagt man immer, stimmt nicht. Man muss das einfach praktikabel machen in Technologien und Lösungen.

Heißt, meinem Verständnis nach ist die Basis, Grundschutz Plus nenne ich das jetzt mal, die erste Stage von Zero Trust, heißt ganz klar, klar, Endpoint-Schutz, das habe ich als Firewall. Ich muss Daten verschlüsseln, ich muss Zugänge absichern, also Multifaktor-Authentizierung, Cloud-Sandboxing-Verfahren einführen, damit ich nicht die Probleme mit Ransomware habe. Und der nächste Schritt, und das sind auf jeden Fall Sachen, die Mittelständler haben müssen, das zeigen ja auch veränderte Versicherungsverträge, ist Endpoint-Detection-Response.

Das heißt, ich muss die Innenansicht wiederbekommen, die Herrschaft über Netzwerke, ich muss mitkriegen, wo passiert was. Und vor allem, wenn etwas passiert, muss ich in der Lage sein, beispielsweise Forensikern, auch diese Informationen zur Verfügung zu stellen. Das ist die Basis EDR.

Und der nächste Schritt danach, wäre für mich die Außenansicht, dass man sagt, Threat Intelligence hole ich mal rein, Data Feeds, auch wenn ich nicht ein eigenes Security Operations Center betreiben kann. Es gibt ja Unternehmen, die machen das für einen. Und dann bekomme ich die Außenansicht.

Ich bekomme sozusagen ein Notfallsystem einfach mit. Und in 24-7 denken. Aber jetzt gebe ich einfach mal an Markus weiter.

Ich hoffe, ich habe dir jetzt nicht zu viel weggenommen. Nein, eigentlich nicht. Hast du voll gut erklärt.

Nein, aber hier und da kommt es mir so vor. Und speziell in der IT-Branche ist das ja schon recht gut. Aber gerade in unserem Ingenieurwesen, bei unseren Maschinenbauern in Deutschland, da gibt es noch so eine gewisse Grundnaivität, was Digitalisierung angeht.

Also man möchte Cloud-Lösungen haben, man möchte digitalisieren. Man braucht das alles, weil man vielleicht auch Kosten einsparen will, macht sich aber nie darüber Gedanken oder selten darüber Gedanken, immer noch selten darüber Gedanken, wie sichere ich das Ganze nun ab? Das ist ungefähr so vergleichbar, als wenn man total als aufgepimpter Tourist mit einer dicken Kamera, dickes Handy und mit einer Geldbörse durch irgendwelche VWs in Südamerika geht und sich dann wundert, dass man überfallen wird. Also so verhält man sich gerade hier und da auch leider immer noch.

Und da können wir eigentlich immer nur noch weiter Awareness betreiben. Leider ist es aber so, die Awareness tritt erst dann auf, wenn auch ein Cyber-Inzidenz-Vorfall auftritt. Das heißt also, wenn der Faden da ist, dann werden die Leute meistens erst wach.

Und dann ist es eben zu spät. Schade. Ja, auf jeden Fall.

Wenn wir jetzt schon beim Thema IT-Security sind, welchen Stellenwert sollte denn eine wertebasierte IT-Security nicht nur made in Germany, sondern auch made in die EU zukünftig einnehmen? Das geht natürlich an Thorsten. Also ich glaube, ganz wichtig ist, dass man im Hinterkopf hat, unter welchen Rahmenbedingungen Unternehmen die Sicherheitslösungen hier produzieren, Technologie, unter welchen rechtlichen Konstruktionen die da tätig sind. Das heißt, wir haben mit die höchsten Datenschutzstandards, ohne Zweifel, weltweit.

Aber wir haben auch Rahmenbedingungen, die ganz einfach dazu sorgen, dass wir beim Teletransport

entwickelt haben sei es jetzt mit IT Security Made in Germany danach alte Security Made in EU aber gesagt haben wer hat dieses Zeichen nehmen wir das einfach mal es ist ja auch Werte basiertes Qualitätssiegel oder ganz da ist ein Forschung Entwicklung musste in Europa stattfinden und den Rahmenbedingungen Dino Beck torgarantie muss selbstverständlich sein ich glaube das ist ein ganz 2 von den mehreren Punkten glaube ich sehr sehr elementar sind und ich glaube auch gerade hier auf der Messe in Nürnberg ist dieser Switch hinzu Deutschen oder europäischen Anbietern viel viel stärker als in den Jahren davor denn die Technologie postet nicht verstecken wertebasiert heißt dass diese Unternehmen Software in diesem Verständnis entwickeln Lösung und dann können Unternehmen einfach vertrauen digitales sollte immer reales abbilden das heißt wir haben offensichtlich auch irgendwo ein gewisses Wertesystem in Europa durch gewisse Gesetze sind diese auch aufgeschrieben worden wir haben auch eine Datenschutz grundverordnung und dann muss das auch natürlich digital entsprechend umgesetzt werden wenn wir der Meinung sind diese Daten soll derjenige bekommen und diese Daten dann jemand anderes und andere Daten sollte möglich sein kaum einer bekommen außer der selber erzeugt hat dann muss das entsprechend auch so umgesetzt werden und muss man auch Schutzmaßnahmen digital implementieren damit es dann auch so ist und da gibt es dann natürlich auch noch ein bisschen Luft nach oben wie waren die realen Werte in digitale Werte umsetzt ohne dass ich jetzt wieder auf den Hamburger Hafen zu sprechen kommen aber gemerkt das ist ein Thema gerade hier haben Hafen und die Terraner Industrie genau so gerne an der Küste ist auch ein gutes Beispiel zum Abschluss hätte ich noch eine Frage wir haben das Gütesiegel oder das vierte Siegel angesprochen IT Security Made in EU von Tele Trust ich stelle gerne die Frage zum Abschluss immer gerne was kann Tele trust noch machen um noch mehr digitale Souveränität zu fördern oder um noch mehr Avan ist bei unseren Mitgliedern zu schaffen hätte dir ein paar Punkte für den Teles hast wo er sagt dieses und jenes könnt ihr noch umsetzen oder dann könnt ihr noch mehr nach außen hingehen so dass wir das auch ein bisschen verbreiten ja ich glaube wir werden uns bei unseren Mitgliedern brauchen wir ja nicht weil das ist ja gerade die alte Security Industrie das heißt die Wissen ja vom Befall diese Mitglieder wollen ja auch ein Tisch Security wir werden uns bei all den anderen Unternehmen und Firmen schaffen die Nummer nicht Mitglied bei Telegram sind auch in der Politik hoffen und von daher gesehen macht es natürlich Sinn wenn auch Tele Trust die ein oder andere Veröffentlichungen zur digitalen Souveränität bringt indem es auch wissen Veranstaltungen hervorgehoben wird in dem auch die Idee von alte Security Made in Germany weiter getragen wird Thorsten hast du noch was Verbrauch also ich mein als Verband gerade auch als der Leit verband im Bereich Halt Sicherheit muss beim aufpassen was man hinterher nicht zu sehr in seinem Kreis ich befinde zur mehr auch nach Hause trete ich glaub aber das können wir nur sagen dass meine Podcast ist ja wunderbar zum anderen ist der letzte noch auf einer Konferenz und dann wurde das Papier stand der Technik des Tele Trust hervorgehoben was was mir nicht bewusst war auch bei Cyber Versicherungsverträgen mittlerweile wirklich als Basis genommen wird

um mit Unternehmen auf Verträge abzuschließen ich glaube mit solchen Publikationen aber auch klar wir werden es das Meer zu erklären weil für uns innerhalb der Industrie ist es vollkommen klar für Unternehmen kleine mittelständische Unternehmen ist das Glaube ich immer noch sehr schwierig weil wenn die produzierendes Gewerbes oder irgendwas anderes leben da in jeder Welt dass die Profis und IT Sicherheit und das machen an welcher die gleichzeitig vielleicht noch den Drucker mit abbilden müssen ganze Infrastruktur am Laufen halten müssen ich glaube da müssen wir noch ein bisschen vielleicht mehr nach draußen gehen aber da bin ich auch ganz optimistisch dass wir als verband da noch mehr machen werden ok vielen Dank an der Stelle natürlich haben wir auch schon eine Podcast Folge zum Thema Stand der Technik da können Sie gerne reinhören falls Sie das noch nicht getan haben und ansonsten möchte ich nochmal zu Marcus Barsch ich sage ja natürlich haben wir die Mitglieder aus der IT Security Branche aber wir haben halt auch vor allen Dingen viele KMU s und viele Unternehmen die aus ganz anderen wirtschaftlichen Bereichen kommen die sich jetzt ein bisschen mehr mit IT Security beschäftigen möchten und von daher versuchen wir immer eine Plattform zu schaffen für diejenigen die eben noch nicht den Bezug haben so ne gut dann möchte ich mich an dieser Stelle sehr herzlich bei meinen beiden Gästen Markus Bartsch toleranzgedanken ich denke wir konnten bisschen Klarheit schaffen in Bezug auf digitale Souveränität anhand eines der aktuellen Beispiels aber auch anhand der letzten Jahre ein bisschen die Entwicklungen verfolgen wie das ganze Geschehen ist und auch einen Ausblick auf die Zukunft wo wir ansetzen müssen als Deutschland als Europa und ja wir freuen uns natürlich wenn sie den Podcast verbreiten ein Like geben Daumen hoch und ansonsten gerne an alle weiterleiten für die es von Interesse sein könnte und vielen Dank live von der ESA wir werden jetzt hier noch ein bisschen Networking und Connecten und schauen wie sich das Ganze weiterentwickelt bis dahin Dankeschön danke für die Einladung Franziska