IT-Security Österreich : Cybersicherheit: NIS2 Richtlinie, mehr Angriffe und die Rolle der KI

Die Digitalisierung prägt nicht nur das öffentliche Leben, sondern auch die öffentliche Verwaltung. Richtig eingesetzt, ermöglichen technologische Innovationen neue Wege für Fortschritt und Nachhaltigkeit. 

Cyberangriffe aber können kritische Bereiche lahmlegen, sensible Daten entwenden und erhebliche wirtschaftliche Schäden verursachen. In Verwaltung und Infrastruktur stellen sie eine reale und wachsende Bedrohung dar, der aktiv begegnet werden muss.

Nie mehr die wichtigsten Nachrichten über Österreichs Wirtschaft und Politik verpassen. Abonnieren Sie unseren wöchentlichen Newsletter: Hier geht’s zur Newsletter-Anmeldung!

Cybersicherheit ist daher aktuell nicht nur auf Bundesebene als Bestandteil der nationalen Sicherheitsstrategie ein zentrales Thema. Sondern auch auf Landes- und Gemeindeebene werden Anstrengungen unternommen, um angesichts der Bedrohungen einen robusten und umfassenden Rahmen zum Schutz von Informationssystemen zu etablieren und kritische Infrastrukturen zu schützen. 

„Wir setzen auf enge behördenübergreifende Zusammenarbeit, laufende Risikoanalysen und die Stärkung digitaler Kompetenzen auf allen Ebenen – denn Technik schützt nur dann, wenn Menschen sie sicher anwenden“, so Alexander Pröll, Staatssekretär für Digitalisierung.

Ein zentraler Schwerpunkt der Zusammenarbeit zwischen Innenministerium und Österreichischem Gemeindebund liegt im Bereich Cyberkriminalität, dem am stärksten wachsenden Feld in der Kriminalitätsstatistik. Gemeinden wie Korneuburg, Tulln oder Maria Enzersdorf waren bereits betroffen. Durch gezielte Sensibilisierung von Gemeindebediensteten und der Bevölkerung sollen Angriffe besser erkannt und abgewehrt werden. 

Eine kommunale Ausbildung soll Fachwissen zu Cybersicherheit und Gefahrenprävention vermitteln.

Kleine und mittelständische Betriebe rücken verstärkt ins Fadenkreuz von Cyberkriminellen. Viele Unternehmen wissen nicht, wie es um ihre digitale Absicherung steht. Zusätzlich herrscht Unsicherheit rund um die NIS2-Richtlinie der EU. Firmen suchen nach verständlichen Antworten mit konkretem Praxisbezug.

„IT-Sicherheit darf keine Domäne von Großkonzernen bleiben. Kleinere Firmen benötigen klare Orientierung", sagt Jürgen Ebner.

Der IT-Unternehmer aus dem steirischen Murtal leitet als Chair die Cyber Security Interest Group innerhalb der GTIA DACH Community.

"Im DACH-weiten Austausch hat mich überrascht: Mehr als zwei Drittel der IT-DienstleisterInnen betrachten Cybersecurity Österreich nach wie vor als Zusatzleistung statt als Fundament."

Laut Ebner zeigt sich im regionalen Umfeld deutlicher Orientierungsbedarf. Zahlreiche Firmen haben bereits einzelne Schutzmaßnahmen implementiert. Was fehlt, seien systematische Strukturen und eine durchdachte Priorisierung der IT-Sicherheit. Die internationale Vernetzung durch die GTIA-Community erlaube es, neue Entwicklungen frühzeitig zu identifizieren und dieses Know-how zurück in die heimische Wirtschaft zu tragen.

Auf Bundesebene sorgt ein speziell eingerichtetes Gremium dafür, die aktuelle Bedrohungslage im digitalen Raum laufend zu beobachten und zu bewerten. 

Der sogenannte „Innere Kreis“ der operativen Koordinierungsstruktur erstellt regelmäßig ein umfassendes Cyberlagebild für das ganze Land. 

In diesem Gremium arbeiten Experten aus mehreren Ministerien (Innen-, Verteidigungs-, Außenministerium, Bundeskanzleramt) sowie die nationalen Computer-Notfallteams (GovCERT) zusammen – auch Nachrichtendienste sind beteiligt. 

Wöchentlich gibt es Updates, einmal im Monat ein zusammenfassendes Lagebild für Behörden und Betreiber kritischer Infrastrukturen.

Technische Schutzmaßnahmen allein reichen allerdings nicht aus. Gut informierte und geschulte Mitarbeiter spielen eine zentrale Rolle. 

Gesetzliche Vorgaben wie die NIS-Richtlinien, DSGVO oder CER-Verordnung schreiben deshalb regelmäßige Schulungen vor – über alle Ebenen hinweg. Informationssicherheit ist Führungsverantwortung – und muss in der Organisationskultur verankert sein. 

„Wer Risiken kennt, kann Bedrohungen verhindern. Die beste technische Lösung hilft nichts, wenn sie nicht richtig angewendet wird – deshalb investieren wir massiv in die digitale Kompetenz unserer Mitarbeiterinnen und Mitarbeiter“, erklärt Pröll.

Das Aufkommen neuer AI-Tools spitzt die Bedrohungslage weiter zu, wie auch eine Deloitte Studie von 2025 zeigt. 

Dabei kann die AI für die eigene Cyber-Security Anwendung finden, beispielsweise bei der Phishing-Erkennung oder der Bedrohungserkennung und -reaktion. Umgekehrt herrscht die Befürchtung, dass durch den Einsatz generativer Anwendungen auch sensible Daten in undurchsichtige Kanäle gelangen. 

Georg Schwondra, Partner im Bereich Cyber Risk, erklärt diesbezüglich: „Wir können davon ausgehen, dass die Verbindung von AI und einer angespannten geopolitischen Lage neue Bedrohungen hervorbringt, die sich noch weiter verschärfen werden.“

Josef Pichlmayr, der Obmann und Sprecher der Vereins Cyber Security Austria, sieht neben den Entwicklungen rund um AI noch eine Fülle anderer Herausforderungen für die öffentliche Verwaltung. 

Bei Cyber Security Austria handelt es sich um einen Verein zur Förderung der Sicherheit Österreichs strategischer Infrastruktur. Der Verein hat auch die Austrian Cyber Security Challenge, Österreichs erste IT Security Talentsuche zur Rekrutierung junger talentierter Menschen, ins Leben gerufen. Damit wird bereits eine große Baustelle angegangen, die im Mangel an qualifiziertem Personal besteht. 

„Es braucht junge Fachkräfte, die ein wirkliches Verständnis der Materie und der Dringlichkeit mitbringen und sich schnell auf die neuen Bedrohungsszenarien einstellen können“, so Pichlmayr, der nicht nur in Österreich, sondern europaweit enormen Aufholbedarf ortet.

Die Ursache dafür sieht er darin, dass Investitionen in die Cybersicherheit nicht wahnsinnig populär sind. Die Eröffnung eines Autobahnteilstücks – das im Verhältnis wesentlich mehr kostet als eine sichere IT-Infrastruktur – kann eben medienwirksamer inszeniert werden. 

Beim Thema Cyber Security sind die Erfolge der Anstrengungen kaum sichtbar. Lediglich das Scheitern, wie im Mai 2022 im Fall des Landes Kärnten, tritt ans Licht der Öffentlichkeit. 

„Dieses Beispiel zeigte so ziemlich alles auf, was man falsch machen konnte“, so Pichlmayr. Er gibt allerdings zu bedenken, dass die öffentliche Verwaltung im Fall eines Cyber-Angriffs auch aufgrund juristischer Fragestellungen komplexere Entscheidungswege hat.

Wichtig sei daher, dass neben der Bewusstseinsbildung bei den Mitarbeitern immer wieder auch Szenarios erprobt werden, um beispielsweise aus Planspielen zu lernen. 

Bei diesen werden Cyber-Angriffe simuliert, wobei die Ereignisse zeitlich komprimiert werden müssen. In der Realität können sich ein Cyber-Angriff und dessen Bewältigung mitunter über Wochen erstrecken. 

Bereits im Vorfeld solcher Übungen tauchen bereits wichtige Fragestellungen auf, die etwa die interne und externe Kommunikation oder die Entscheidungswege betreffen. Letztlich geht es darum, eine Zeit lang autark bzw. losgelöst von der bisherigen Infrastruktur agieren zu können, während eventuell Prozesse wie die Zutrittskontrolle, die Leistungserfassung, die Förderabwicklung etc. nicht mehr funktionieren und auf Social Media gleichzeitig ein gewaltiger Shit-Storm tobt.

Angesichts der neuen geopolitischen Lage zeigt sich für Pichlmayr, dass sich Europa auch hinsichtlich der Betriebssysteme und der Clouddaten extrem abhängig von US-amerikanischen Tech-Anbietern mit einer Quasi-Monopolstellung machte. 

Wenn es darauf ankomme, könnte auf Knopfdruck ein ganzer Kontinent zurück in das analoge Zeitalter und in eine flächendeckende Amnesie katapultiert werden. 

„Es wird viele Jahre dauern, um das aufzuholen und hier wirklich eine resiliente Infrastruktur zu schaffen“, zeigt sich Pichlmayr wenig optimistisch, da den Europäern erst jetzt überhaupt dämmert, in welcher Situation sie sich befinden.

Dabei geht es nicht um den „Kill-Switch“ eines F-35-Kampfjets, sondern um unsere alltäglichen digitalen Arbeitsbehelfe. 

Paradoxer Weise können die Europäer vielleicht von Russland lernen, das sich nach den Sanktionen mehr oder weniger erfolgreich von US-IT-Technologie abkoppelt. Dort wurden beispielsweise nach dem Aus für den Verkauf von Microsoft-Betriebssystemen nun Linux-basierte Systeme weiterentwickelt, um unabhängiger zu werden. 

Auf diesem Gebiet europaweit nach Alternativen zu suchen, würde nicht nur zu mehr Resilienz führen, sondern auch viele Investitionen nach sich ziehen, Innovationen ins Leben rufen und letztlich unzählige Arbeitsplätze schaffen.

🔎 Noch mehr Wirtschaftseinblicke?

Folgen Sie uns auf LinkedIn und bleiben Sie über aktuelle Themen, spannende Interviews und Trends aus der Wirtschaft immer auf dem Laufenden!