Resilience for Critical Infrastructures: A Volunteer Cyber Brigade

Power outages and cyber attacks represent an increasing threat to the delivery of critical services to the public. On August 25, 2021, our member MrDuck presented the AG KRITIS‘ concept of a „Cyberhilfswerk“ (cyber relief organization) as part of the monthly Cybersecurity Speaker Series talk.cybercni.fr. He provided an overview of existing capabilities to respond to and train for such an event, explained why these are insufficient and outlined a possible solution to address large scale cyber-induced disaster.

The recording is freely available here.

Information about the Speaker Series can be accessed here.

Koalitionsvertrag: AG KRITIS erstmals vorsichtig optimistisch

Der Koalitionsvertrag der Ampel-Parteien steht. Wir haben dies zum Anlass genommen, um die digitalpolitischen Inhalte mit unseren politischen Forderungen abzugleichen.

Im Allgemeinen hat sich hier sehr viel getan und wir sehen an vielen Stellen eine Bewegung in die richtige Richtung. Obwohl es sonst nicht unsere Art ist, stellen wir fest, dass wir vorsichtig optimistisch sind. Nachfolgend nehmen wir zu einzelnen Passagen des Koalitionsvertrags Stellung und geben konkrete Verbesserungs- und Umsetzungshinweise.

Unabhängigkeit des BSI

Wir leiten einen strukturellen Umbau der IT-Sicherheitsarchitektur ein, stellen das Bundesamt für Sicherheit in der Informationstechnik (BSI) unabhängiger auf und bauen es als zentrale Stelle im Bereich IT-Sicherheit aus.“ (441-442 )

Wir freuen uns darüber, dass das BSI unabhängiger werden soll. Die gewählte Formulierung ist hier jedoch sehr vage und sogar grammatikalisch fraglich; denn in unserer Wahrnehmung ist „unabhängig“ kein steigerbares Adjektiv. Entweder etwas ist unabhängig oder es ist eben abhängig.

Wir fordern die Unabhängigkeit des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom Bundesministerium für Inneres, Bau und Heimat (BMI).

Dies ließe sich z.B. bewerkstelligen, in dem das BSI einem anderen Bundesministerium unterstellt wird, oder in dem die Fachaufsicht, wie beim Bundesamt für Statistik, nach wissenschaftlichen oder sachgerechten Kriterien selbst erfolgt und nur die Rechtsaufsicht beim BMI verbleibt (§ 2 (1, 3) BStatG).

Wir empfehlen der neuen Regierung daher, mindestens die Fachaufsicht über das BSI aus dem BMI zu lösen.

Angemessene Personalausstattung relevanter Behörden

 „Wir werden deshalb Planungs- und Genehmigungsverfahren modernisieren, entbürokratisieren und digitalisieren sowie die Personalkapazitäten verbessern. Indem wir Bürgerinnen und Bürger früher beteiligen, machen wir die Planungen schneller und effektiver. “ (148 – 151)

Das Verbessern der Personalkapazitäten ist dringend notwendig, insofern begrüßen wir diese Formulierung. Wir vermissen hier allerdings das aus unserer Sicht notwendige Vorhaben, Änderungen am behördlichen Laufbahnrecht und dem TVÖD vorzunehmen; denn sowohl das aktuelle Laufbahnrecht, als auch der TVÖD verhindern es, IT-Fachpersonal ein konkurrenzfähiges Gehalt zu zahlen. Im aktuellen Wettkampf um IT-Fachpersonal ist dies eine grundlegende Voraussetzung, um kompetentes Personal anstellen zu können. Es scheint in den Behörden noch nicht angekommen zu sein, dass Sie eben nicht im Umkreis von 30km um Ihre Liegenschaft um Personal konkurrieren, sondern dass Sie in direkter Konkurrenz zu US-Unternehmen stehen, die europäisches IT-Fachpersonal in Telearbeit zu sechsstelligen Jahresgehältern anstellen.

Open-Source Einsatz im KRITIS Umfeld

„Entwicklungsaufträge werden in der Regel als Open Source beauftragt, die entsprechende Software wird grundsätzlich öffentlich gemacht. Auf  Basis einer Multi-Cloud Strategie und offener Schnittstellen sowie strenger Sicherheits- und  Transparenzvorgaben bauen wir eine Cloud der öffentlichen Verwaltung auf. “ (408-411)

 „Wir werden kritische Technologie und Infrastruktur besser schützen, Standards und Beschaffung daran ausrichten und ein europäisches Open Source- 5/6G-Konsortium initiieren. Europäische Unternehmen schützen wir besser gegen extraterritoriale Sanktionen. “ (4433 – 4436)

Die Festlegung auf Open Source ist überfällig und wurde von so gut wie jeder digitalpolitisch aktiven Organisation im letzten Jahrzehnt gefordert. Wir vermissen hier allerdings einen wirklichen Reformwillen; denn der Staat kauft viel zu oft proprietäre Software oder Nutzungsverträge zu proprietären Clouds, als dass eigene Entwicklungsaufträge vergeben werden. Wir hätten uns hier ein klareres Bekenntnis zur Abkehr von proprietärer Software von außereuropäischen Herstellern gewünscht. Auch fehlt in diesem Zusammenhang der Willen, bestehende Open Source Projekte zu fördern (Machbarkeitsstudie) oder zu nutzen (dPhönixSuite).

Strikt defensive Cybersicherheitsstrategie für Staat und Wirtschaft

„Hackbacks lehnen wir als Mittel der Cyberabwehr grundsätzlich ab. Nicht-vertrauenswürdige Unternehmen werden beim Ausbau kritischer Infrastrukturen nicht beteiligt.“ (446-447 )

„Das Bundespolizeigesetz novellieren wir ohne die Befugnis  zur Quellen-TKÜ und Online-Durchsuchung.“ (3661- 3662)

Auf dem Weg zu einer defensiven Cybersicherheitsstrategie ist die Ablehnung von Hackbacks ein Schritt in die richtige Richtung. Auch die Entfernung der Befugnis zur Quellen-Telekommunikationsüberwachung oder Online-Durchsuchung ist ein weiterer Schritt auf dem Weg zu einer defensiven Cybersicherheitsstrategie. Wir fragen uns allerdings, wie in diesem Zusammenhang der folgende Satz zu verstehen ist:

„Die Bundeswehr muss (…) in die Lage versetzt werden, im Verbund mit anderen Bundesbehörden im Cyber- und Informationsraum als Akteur erfolgreich zu bestehen. “ (5041- 5044)

Hier wurde aus unserer Sicht eine Gelegenheit verpasst, den offiziellen Status der „Verteidigungsarmee“, also einem rein defensiven Vorgehen (Art. 87a GG), zu betonen und diesen Status auch für den Cyberraum zu bestätigen. Vor diesem Hintergrund ist auch der „Bundeswehreinsatz im Inneren“, also z.B. die Hilfsleistung gegenüber anderen Bundesbehörden notwendigerweise zu kritisieren. Die Bundeswehr sollte in jedem Fall die allerletzte Verteidigungslinie in jeder Krise sein. Jegliche Vorsorge für den Katastrophenfall sollte eben nicht mit den Ressourcen der Bundeswehr planen und dies sollte auch im Cyber- und Informationsraum beibehalten werden.

Staatliche Verantwortung und Aufsicht sicherstellen

„Den physischen Schutz kritischer Infrastrukturen bündeln wir in einem KRITIS-Dachgesetz.“ (3504 )

In diesem Zusammenhang halten wir es für notwendig, für jeden KRITIS-Sektor eine wissenschaftliche Evaluation zu beauftragen, wie notwendige und wirksame (staatliche) Kontrollmechanismen implementiert werden können. Grundsätzlich müssen Kritische Infrastrukturen sorgsamer und ausfallsicherer betrieben und ausgebaut werden, als andere Infrastrukturen. Dies widerspricht grundsätzlich den Bestrebungen nach Gewinnmaximierung durch privatwirtschaftliche Betreiber. Wirksame Regulierungen, unabhängige Kontrollinstanzen und kompetente Aufsichtsbehörden für die einzelnen Sektoren sind daher notwendig.

Auch empfehlen wir der neuen Bundesregierung, in diesem Dachgesetz dafür zu sorgen, dass die Länder endlich Ihre Verpflichtungen (Stellungnahme für Landtag NRW) erfüllen und eine Landes-KRITIS-Verordnung für den Sektor „Staat und Verwaltung“ erlassen, wie sich dies aus der föderalen Struktur in Zusammenhang mit dem IT-Sicherheitsgesetz bzw. dem BSI-Gesetz ergibt. Wir halten es für zwingend notwendig, dass diese Verordnung bundeseinheitlich gestaltet wird. IT-Sicherheit darf nicht zum Standortvorteil einzelner Bundesländer werden.

Bei der Schaffung dieses Dachgesetz bitten wir die neue Bundesregierung zudem, unsere Forderung nach gesetzlich verpflichtendem Patchmanagement sowie nach effektiver Überprüfung und wirksamen Sanktionen bei Nichteinhaltung des § 8a BSIG zu berücksichtigen.

Gründung eines Cyber-Hilfswerks (CHW)

Die Freiwilligen stärken wir durch ein Ehrenamtskonzept und in föderaler Abstimmung durch  bundesweit einheitliche Freistellungs und Versicherungsschutzregeln der Helferinnen und Helfer. DasTechnische Hilfswerk (THW) nimmt weiter eine zentrale Rolle ein und soll seine Kompetenzen in der
Cyberhilfe erweitern. Den physischen Schutz kritischer Infrastrukturen bündeln wir in einem KRITISDachgesetz.“ (3501 – 3505)

Wir freuen uns sehr über die Aufnahme unseres Impulses zur Schaffung eines Cyberhilfswerks. Allerdings sind wir uns nicht sicher, ob eine Ansiedlung beim THW der richtige Schritt ist. Hier muss das bestehende Konzept mit den unterschiedlichen Varianten und Möglichkeiten diskutiert werden. Es ist aus unserer Sicht klar, dass ein Cyberhilfswerk als Bindeglied zwischen dem BSI und dem THW konzeptioniert werden muss. An welcher Behörde ein CHW aufgehangen wird, sollte daher mit dem Ziel einer möglichst effektiven Aufgabenerfüllung diskutiert werden, bevor die finale Festlegung erfolgt.

Verpflichtung zur Responsible Disclosure

„Das Identifizieren, Melden und Schließen von Sicherheitslücken in einem verantwortlichen Verfahren, z. B. in der IT-Sicherheitsforschung, soll legal durchführbar sein. “ (445-446 )

Wahrscheinlich ist mit „verantwortlichem Verfahren“ das so genannte „Responsible Disclosure“ Verfahren gemeint. Um dies zu erreichen, müssen jedoch Anpassungen an UrhG, UWG und StgB erfolgen. Konkrete Vorschläge, wie dies passieren kann, finden sich hier: sec4research.de  sowie auf Bundestagsdrucksache 19/7698, II Unterpunkt 8

„Staat wird keine Sicherheitslücken ankaufen oder offenhalten.“ (3651 – 3655)

Obwohl dies für uns grundsätzlich gut klingt, haben wir hier zwei Sorgen: Zum einen erlaubt diese Formulierung weiterhin, dass der Staat mittels der Zentralen Stelle für Informationstechnik im Sicherheitsbereich (ZITIS), Sicherheitslücken findet und selbst ausnutzt, bis diese geschlossen werden. Zum anderen wird sich die Möglichkeit offen gehalten, Dienstleistungen außereuropäischer Überwachungsdienstleister einzukaufen, die selbst auf großen Mengen bisher unveröffentlichter Sicherheitslücken sitzen und diese für ihr Geschäftsmodell geheim halten.

Auch vor dem Hintergrund, dass das BSI die zentrale Meldestelle für Sicherheitslücken werden soll, ist es wichtig, den oft im Ehrenamt arbeitenden IT-Sicherheitsforscherinnen aber auch den IT-Sicherheitsdienstleistern die explizite Sicherheit zu geben, dass durch sie gefundene Sicherheitslücken auch veröffentlicht werden.

Gerne stehen wir für alle Parlamente, Ministerien und Bundesämter im Ehrenamt beratend zur Verfügung, um im Sinne der Zivilgesellschaft die Versorgungssicherheit und Resilienz kritischer Infrastrukturen zu verbessern.

 

Dieser Artikel wurde erstellt von Johannes Rundfeldt und Elina Eickstädt

 

Stellungnahme zum Ausfall des Landesverwaltungsnetzes NRW

Am 18. November 2021 war Johannes Rundfeldt, Gründer und Sprecher der AG KRITIS, als Sachverständiger im Landtag NRW zur öffentlichen Anhörung zum Antrag „Das Landesverwaltungsnetz weiterentwickeln, um der steigenden Bedeutung digitaler Verwaltungsprozesse gerecht zu bleiben“ geladen.

Neben der mündlichen Stellungnahme im Landtag haben wir auch eine schriftliche Stellungnahme abgegeben, die wir hier veröffentlichen.

Als Fazit kann festgehalten werden, dass es die Länder bisher versäumt haben, eine Gesetzgebung für den KRITIS-Sektor „Staat und Verwaltung“ zu erlassen. Dies ist umso mehr verwunderlich, da dies durch das IT-Sicherheitsgesetz und die BSI-Kritisverordnung schon seit Jahren für die anderen KRITIS-Sektoren gefordert wird.

Die Anhörung ist öffentlich verfügbar und kann hier abgerufen werden.

Strategielose Cybersicherheit für Deutschland

Matthias Schulze geht in seinem äußerst gelungen Perceptic0n Podcast Folge 28 [Deutschlands Cybersicherheitsstrategie 2021, Kommentar zum Entwurf] Schritt für Schritt den Entwurf der Cybersicherheitsstrategie 2021 durch und weist fundiert und mit vielen Hintergrundinformationen auf die Probleme dieser und weiterer Strategien in der deutschen Digitalpolitik hin. Die Inhalte aus dieser Folge greifen wir hier auf und ergänzen sie.

Das Bundesministerium für Inneres, Bau und Heimat (BMI) hat vor Ende der Legislaturperiode einen Entwurf für die dritte Cybersicherheitsstrategie in Deutschland vorgelegt. Die erste Version stammt aus dem Jahr 2011. Operatives Abwehren von Angriffen war damals noch nicht enthalten. Im Jahr 2016 erschien die zweite Version, die die Wende von einer defensiven hin zu einer offensiven Cybersicherheitsstrategie markierte und unter anderem eine Liste von Kompetenzwünschen der Behörden enthielt. Der Entwurf von 2021 setzt dieses Vorgehen weiter fort.

In der deutschen Digitalpolitik gibt es z.B. auch eine KI-Strategie und eine Blockchain-Strategie – der Strategie-Begriff wird inflationär und falsch verwendet.

Der Strategie Begriff

Laut Richard Rummelts Buch „Good Strategy. Bad Strategy“ ist eine Strategie im Wesentlichen eine kohärente Reaktion auf ein wichtiges Problem.

Eine gute Strategie besteht laut Rummels dabei aus drei Dingen

  1. Einer umfassenden Diagnose des Problems welches es zu lösen gilt
  2. Einer „Guiding Policy“ welche die grobe Marschrichtung zur Lösung des Problems vorgibt und die am besten nur aus einem Schlagwort besteht, das man sich gut merken kann
  3. Eine Reihe von kohärenten Maßnahmen und „Ressource Commitments“ um die Guiding Policy zu befolgen

Es geht um Maßnahmen, das Bereitstellen von Mitteln (Geld) und um eine Priorisierung der Maßnahmen.

Wichtig ist, dass diese Dinge logisch aufeinander aufbauen und sich nicht widersprechen. Zielkonflikte sind immer ein Zeichen für eine schlechte Strategie. Ein weiterer klassischer Fehler, der in Strategien häufig zu finden ist, ist eine Strategie mit dem Definieren von Zielen zu verwechseln. Eine schlechte Strategie hat viele Ziele aber wenig handfeste definierte Aktionen und Handlungen die nötig sind, um diese Ziele zu erreichen. Eine gute Strategie hingegen hat klar erreichbare Ziele und definiert auch unter welchen Bedingungen die Ziele erreicht sind. Man spricht hier auch von „Smarten Zielen“, wenn klar definiert ist welches die Indikatoren sind, um die Erreichbarkeit der Ziele zu messen.

Die Cybersicherheitsstrategie 2021

Die Diagnose des Problems sollte in Kapitel 5 des Entwurfs der Cybersicherheitsstrategie 2021 zu finden sein. Hier stand aber nur „Noch in Bearbeitung“. Da man doch vom Problem kommen sollte, wenn man es lösen will, ist das kein gutes Zeichen, auch wenn es sich nur um den Entwurf handelt. Im Rückblick auf das Vorgehen bei der Erstellung der letzten Cybersicherheitsstrategie 2016 und bei der bisherigen falschen Verwendung des Strategiebegriffs sowie den Inhalten dieses Entwurfs ist davon auszugehen, das dieses Kapitel 5 in der finalen Version mit Inhalten gefüllt wurde, die zu den bestehenden Zielen und Lösungen passen. Es werden also Probleme zu einer Lösung gesucht oder konstruiert.

Die Strategie hat nicht eine Guiding Policy, sondern vier. Und zwar:

  1. Cybersicherheit als eine gemeinsame Aufgabe von Staat, Wirtschaft, Wissenschaft und Gesellschaft etablieren
  2. Digitale Souveränität von Staat, Wirtschaft, Wissenschaft und Gesellschaft stärken
  3. Digitalisierung sicher gestalten
  4. Ziele messbar und transparent ausgestalten

Eine klare Marschrichtung ist hier nur bedingt erkennbar, es handelt sich bei diesen Leitlinien eher um offensichtliche Ziele und Erläuterungen. Schön ist, dass auf Kritik aus der Vergangenheit eingegangen wird und man versucht, die Cybersicherheitsstrategie messbar zu gestalten. Dennoch liegt hier eine Verwechselung vor, denn diese Leitlinien sind eben keine Guiding Policy zum Cybersicherheits-Problem.

Abgeleitete Maßnahmen

Die aus diesen Leitlinien abgeleiteten Maßnahmen sind in vier Handlungsfelder unterteilt:

  1. Sicheres und selbstbestimmtes Handeln in einer digitalisierten Umgebung
  2. Gemeinsamer Auftrag von Staat und Wirtschaft
  3. Leistungsfähige und nachhaltige gesamtstaatliche Cybersicherheitsarchitektur und
  4. Aktive Positionierung Deutschlands in der europäischen und internationalen Cybersicherheitspolitik

Handlungsfeld 1 – Sicheres und selbstbestimmtes Handeln in einer digitalisierten Umgebung

Ein Beispiel aus dem ersten Handlungsfeld ist „Die digitale Kompetenz bei allen Anwenderinnen und Anwendern fördern.“ Hierbei wird digitale Kompetenz jedoch nicht definiert. Daher wird nicht klar, was gemeint ist und wie die digitale Kompetenz erreicht werden soll. Es steht dort zwar, dass die Maßnahme Forschungsförderung ist. Aber auch wenn das natürlich sinnvoll klingt, handelt es sich eben nicht um eine Maßnahme die auf Anwender:innen fokussiert. Ein Fach „Digitale Bildung“ an Schulen wäre hier sinnvoller weil zielgerichteter. Fachkräftemangel als Teil der Problemdiagnose wird nicht genannt – da die ja auch noch in Bearbeitung ist.

In diesem Zusammenhang ist selbst ohne Problemdiagnose unverständlich, warum das in der Cybersicherheitsstrategie 2016 enthaltene Ziel „Personal gewinnen und entwickeln“ gestrichen wurde. Stattdessen wurde in den Entwurf 2021 nur ein Ziel zur Personal-Kapazität des BSI aufgenommen. Der für resiliente Infrastruktur erforderliche Personalbedarf der Länder und Kommunen wird ignoriert. Ebensowenig wird die Frage berücksichtigt, wie sich ausreichend qualifizierte Cybersecurity-Experten für Behörden-Tätigkeiten gewinnen und halten lassen können.

Die Maßnahmen „Verantwortungsvoller Umgang mit Schwachstellen – Coordinated Vulnerability Disclosure fördern“ und „Verschlüsselung als Voraussetzung eines souveränen und selbstbestimmten Handelns flächendeckend einsetzen“ sind grundsätzlich sinnvoll.

Handlungsfeld 2 – Gemeinsamer Auftrag von Staat und Wirtschaft

Im zweiten Handlungsfeld „Gemeinsamer Auftrag von Staat und Wirtschaft“ sind besonders viele Buzzwords enthalten, es fehlen konkrete Ziele und Maßnahmen.

Handlungsfeld 3 – Leistungsfähige und nachhaltige gesamtstaatliche Cybersicherheitsarchitektur

Und im dritten Handlungsfeld „Leistungsfähige und nachhaltige gesamtstaatliche Cybersicherheitsarchitektur“ wird es besonders spannend: Hier wird systematisch IT-Sicherheit mit Nationaler Sicherheit verwechselt. Nachrichtendienste und nationale Sicherheitsbehörden haben hier offensichtlich ihre Wunschlisten nach neuen Fähigkeiten platziert. Und das steht zum Teil im Wiederspruch zu den vorherigen Maßnahmen. Es ist nicht klar, inwiefern die hier geforderten Maßnahmen der IT-Sicherheit dienlich sind.

Die erste Maßnahme aus dem dritten Handlungsfeld „Die Möglichkeiten des Bundes zur Gefahrenabwehr bei Cyberangriffen verbessern“ beinhaltet eine Grundgesetz-Änderung. Gefahrenabwehr ist das aktive Reagieren auf Cyberangriffe, damit der Bund bei besonders schweren Cyberangriffen zurückschlagen darf. Nicht nur Cyberangriffe sondern auch deren Rückschläge benötigen offene Schwachstellen, womit die vorherige Maßnahme „Verantwortungsvoller Umgang mit Schwachstellen – Coordinated Vulnerability Disclosure fördern“ konterkariert wird. Hier ist auch in Frage zu stellen, warum die Cybersicherheits-Strategie in vielen Aspekten sehr vage bleibt, während Maßnahmen wie eine Grundgesetz-Änderung sehr detailliert formuliert werden.

Dann folgen einer Reihe grundsätzlich guter Maßnahmen bevor es mit „Strafverfolgung im Cyberraum intensivieren“ wieder zu einem Griff in den Giftschrank kommt. Hier geht es um die Erweiterung der Befugnisse für Sicherheitsbehörden und die Kriminalisierung von Hackern. Bei „Den verantwortungsvollen Umgang mit 0-day-Schwachstellen und Exploits fördern“ wollen Nachrichtendienste IT-Sicherheitslücken ausnutzen um fremde Systeme zu hacken. Hierfür möchte die Regierung einen Abwägungsprozess etablieren, der das Vertrauen in das Bundesamt für Sicherheit in der Informationstechnik (BSI) schwächen könnte.

Eine weitere Maßnahme aus dem dritten Handlungsfeld ist „Sicherheit durch Verschlüsselung und Sicherheit trotz Verschlüsselung gewährleisten“. Es ist Konsens bei Kryptographie-Experten, dass diese Maßnahme in direktem Konflikt zur Maßnahme „Verschlüsselung als Voraussetzung eines souveränen und selbstbestimmten Handelns flächendeckend einsetzen“ steht.

Die Exploit entwickelnde Hackerbehörde Zentrale Stelle für Informationstechnik im Sicherheitsbereich (ZITiS) soll weiter ausgebaut werden, was alleine schon aufgrund der unklaren Rechtsgrundlage der Behörde zu kritisieren ist. Unklar ist darüber hinaus, woran bzw. wie die Exploits der ZITiS getestet werden. Auch der Bundesnachrichtendienst (BND) soll gestärkt werden, ohne das hierzu genaue Angaben gemacht werden.

Bei der Maßnahme „Das Telekommunikations- und Telemedienrecht und die Fachgesetze an den technologischen Fortschritt anpassen“ soll der Bundestrojaner und die Rechtsgrundlagen für dieses Instrument erweitern werden.

Handlungsfeld 4 – Aktive Positionierung Deutschlands in der europäischen und internationalen Cybersicherheitspolitik

Das vierte und letzte Handlungsfeld beinhaltet die Ziele für eine aktive europäische und internationale Cybersicherheitspolitik und bleibt dabei sehr vage. Was hier fehlt, ist die kohärente Cybersicherheits-Innen- und Außen-Politik. Wie die Cybersicherheitsstrategie evaluiert werden soll, steht ebenso wenig im Entwurf wie die umfassende Diagnose des Problems.

Fazit

Eine gute Strategie zu erstellen ist sehr schwer, daher kommt es vielfach zu eben diesen Listen von Zielen. In diesem Entwurf ist sehr deutlich zu erkennen, dass die verschiedenen Ministerien Texte hinzugeliefert und im Wesentlichen aufgeschrieben haben, was sie gerne haben wollen. Da wo das Bundesamt für Sicherheit in der Informationstechnik (BSI) verantwortlich war, geht es am ehesten um IT-Sicherheit und da wo die Sicherheitsbehörden Inhalte geliefert haben, geht es fast nur um neue Befugnisse. Die Problemdiagnose fehlt, die Guiding Policy ist nicht griffig und es gibt widersprüchliche Ziele.

Nicht in der Strategie enthaltene, aber erwartete Ziele, sind zum Beispiel das Beheben von Schwachstellen an der Quelle, also „Herstellerhaftung für Software“ sowie „Einheitliches Vorgehen gegen Ransomware-Angriffe“ und die „Verfolgung von Finanzströmen“. Wie gewährleisten wir die Funktion von Wirtschaft und der Regierung bei einem Angriff, der die Energieversorgung terminiert? Wo ist die OpenSource-Policy die uns helfen könnte Digital Souverän zu werden?

Die auf dieser Basis veröffentlichte Cybersicherheitsstrategie für Deutschland 2021 lässt erahnen, welche Digitalkompetenzen bei der Erstellung vorhanden waren, worum es den Erstellern ging und welche Prioritäten dabei an den Tag gelegt wurden.

The Morpheus Tutorials Podcast: Kritische Infrastruktur ist kritisch – auch in der IT-Sicherheit!

„Wir möchten auch morgen noch kraftvoll in ein Glas Wasser schlürfen können.“ Darüber und über vieles mehr spricht unser Mitglied @HonkHase mit @TheMorpheusTuts in seinem Podcast Speak 1337. Es geht um die AG Kritis, aktuelle politische (Fehl)Entscheidungen und das Cyberhilfswerk.

Was wäre das schlimmste, was ein Hacker hacken könnte? Wasserwerke und alle vergiften? Stromkraftwerke und Blackout? All das sind Szenarien, die kritische Infrastruktur betreffen. Was dagegen getan wird, erfahrt ihr heute 🙂

Den vollständigen @TheMorpheusTuts Podcast „Kritische Infrastruktur ist kritisch“ mit @HonkHase findet ihr hier:

https://open.spotify.com/show/0xlIih789FcMbZaASyhuAm

https://podcasts.apple.com/de/podcast/speak-1337/id1577956101

https://podcasts.google.com/feed/aHR0cHM6Ly9hbmNob3IuZm0vcy9jODIxYjEwL3BvZGNhc3QvcnNz

DIY emergency power system – a field report

The storm disaster in NRW and Rhineland-Palatinate has shown that the fears of many scientists can quickly become reality. Within just a few hours, entire regions were cut off from the outside world. I myself was in the crisis area, as my parents and many friends from my school days live there. It is impossible to describe the picture on the ground. The same just happend in the US.

Update 26.08.2021: The project is in constant development and we welcome your comments. We have therefore expanded the article. You are welcome to send me a DM at Twitter

 

We as a society are used to everything working. We are dependent on functioning infrastructures. This fact is known as the vulnerability paradox and is considered the main argument for protecting critical infrastructures in particular. There are several laws to ensure the safety and availability of these infrastructures. However, natural disasters can be unpredictable and devastating.

The areas I was in were relatively unsupported by german THW and the fire brigade, especially in the beginning, because first the dams and flooded areas had to be supplied. There was often no electricity, no clean water and no communication on site. Due to the failure of the mobile phone network, the battery of many mobile phones ran out much faster than usual, because mobile phones in these situations search for available networks with maximum power. Even when the mobile phone networks were partially working again, many were still not able to make phone calls due to the empty mobile phone batteries and the lack of power supply and were, for example, not able to organise help or inform their relatives and friends that they are okay and what exactly they need as support. Moreover, without electricity, there were other problems as well. Young parents could not, for example, heat the porridge or milk for their babies for lack of alternative cooking facilities.

This project therefore aims to show how to prepare for such situations and how to set up a small substitute supply with existing local resources. Normal generators require fuel and maintenance. Moreover, according to Murphy’s Law, without regular test runs they „naturally“ do not work, especially in an emergency. Depending on the need, there are very many options available on the market. A USB power bank can be enough or a large uninterruptible power supply (UPS) in the cellar. There are also corresponding systems for caravans. However, these cost over 1,000 euros.

Since I already work a lot with electricity and photovoltaic systems as a hobby, I came up with the idea of a mobile emergency power supply based on photovoltaics with a battery buffer. The system should have a battery storage, support the charging of USB devices and have a 230V AC (Changeable to 110V) system for everyday things (bottle warmer, light, etc.) as well as a 12V output for chargers. Ready-made solutions are of course available for purchase. These also cost accordingly.

A key question was the choice of battery. Purchased solutions almost invariably rely on lithium-polymer accumulators (also called LiPo). However, these were excluded in this project because the use of LiPos is not entirely trivial and certainly not suitable for every craftsman. In addition, there are extreme differences in quality that can quickly end in a fire. Therefore, normal car batteries were used. A car battery is available everywhere and, in the worst case, can also be removed from a defective vehicle on site. Of course, these are not suitable for continuous use, as they are not cycle-resistant. However, we are talking about an emergency system that is only to be used a few times. LiFePO4 batteries are another but still very expensive alternative.

To remain mobile, only a small photovoltaic panel should be used. The normal panels for houses usually have dimensions of 1 metre by 1.8 metres. This does not really fit well in a car or cargo bike. Basically, the choice of technology is a matter of price and taste. To get more out of a small area, a monocrystalline module should be used because it has a better energy yield. It works just as well with the cheaper polycrystalline modules.

The last technical question was about the PV inverter. This serves as a link between the PV panel and the battery. There are two typical methods; PWM (pulse width modulation) charge controllers are the simpler devices compared to MPPT (maximum power point tracking) controllers. In terms of cost, the PWM devices are cheaper and are perfectly adequate for the application. The ultimate goal was to build a low-cost module.

 

The construction

First of all, it should be pointed out that the finished system also works with alternating voltage (AC). This is new territory for the normal maker. Work on these systems may only be carried out by a qualified electrician. As long as the sine wave inverter for the 230V systems has a ready-made protective mains plug , this should not be a problem. But even with 12V you can produce nice arcs at high amperage.

Assembly is relatively easy and can be done in two hours. The cost is about 320 euros. If certain things are adjusted, the targeted 250 euros can also be achieved.

  • To prevent the battery from slipping, a precisely fitting base plate is cut out of chipboard. This has a recess for the battery so that it can no longer slip. The recess must of course be cut to fit the box.
  • The next step is to connect the electricity. The fuses should not be plugged in yet! There is a risk of short circuits. All cables are already included in the PV set I used. If you use your own cables, please make sure that the cable cross-sections (6-10mm) and fuses are suitable (maximum 15 cm away from the battery).
  • First, connect the cable to the solar panel. Plus to plus, minus to minus. Since high currents flow, please tighten them firmly. The PV panel is not yet connected.
  • Then connect the battery. A 20A fuse must be installed in the plus line. Again, plus to plus, minus to minus.
  • The 230V inverter must not be connected directly to the solar inverter because it requires too much power. It must be connected directly to the battery. My inverter came with 2 cables that could not be connected directly. I shortened them, crimped them again and then connected them directly to the battery. Here, too, a fuse is installed directly in the positive cable of the battery, which is also not yet plugged in.
  • A standard 12V car socket is connected to the load output of the solar inverter. A fuse is also installed in the socket here. Only small consumers should be connected to the 12V output (chargers or smaller 12V consumers such as LED lights).
  • After wiring, the inside of the box is lined with wood and everything is connected with wood glue. The wooden panel is only placed over the battery and can be opened for maintenance purposes.
  • For the final test, the PV panel is connected and the fuses are installed. The system switches on automatically. As I use a wet battery, I have set this in the PV inverter. Therefore, please check your inverter to see which types are supported. Then connect the 12V socket to the laptop and check whether charging takes place. If everything works, the cables can still be laid nicely and the battery can be fully charged initially.

When closed, it fits together with the solar panel in the boot of a car or even in a cargo bike. Thanks to the 6-metre cable, the module can be placed exactly where the sun is.

What is the Box capable of?

Since one should never draw full power from lead-acid batteries (maximum 50%), a 27Ah output can be roughly achieved, which allows the 300W inverter to run for one hour at maximum load. Of course, the inverter rarely uses full power and therefore the battery will usually last a day in field operation. In addition, the battery is charged by the solar panel during operation. Depending on the budget and size of the box, larger batteries can of course be used. However, this also increases the weight. The battery can also be quickly exchanged for another battery with quick-release battery clamps. Therefore, enough cables should be available in the box to be able to quickly connect an external battery. The selection is therefore very variable.

As a planned improvement, an update of the solar inverter to a 30A version is planned, to which the modules of an existing PV system can also be connected directly. For test purposes, a 600W balcony power plant was mounted on the garden house, but this was only designed as an island solution. Several batteries can also be charged here and installed in the mobile system if required. Care was taken to ensure that all PV panels on site (roof, garden, mobile) had MC4 adapters so that they could be interchanged. It is important to ensure that the PV inverters can cope with the power of the modules. Another warning: The PV system on the roof often has DC voltages of over 500V. Please never disconnect the connections under load and make sure in general that the system is switched off and in the best case shaded.

The small box is regularly used for outdoor activities and will also be present at the next CCC camps or the Dutch counterpart.

Partlist:

  • Car battery (in my case a starter battery, 12V, 45Ah, 400A)
  • 12V to 230V inverter
  • 12V socket (a cigarette lighter from the car supply)
  • Solar inverter (as a set with solar panel and cable, e.g. from Offgrid Tec. Note: The sets are in great demand and may be sold out at the moment. Many DIY stores also have them on sale, at least in germany)
  • PV panel (may be included in the set)
  • Connection cable (may be included in the set)
  • Tools (jigsaw, side cutters, wood glue, crimping pliers are advantageous)
  • Chipboard 1cm
  • Box for installation (Here I use a Stanley/DeWalt TSTAK, as I organise all my tools with this)
  • Desire to make things 🙂

 

Der gar nicht ausfallsichere und auch nicht hochverfügbare digitale Behördenfunk

Das Digitalfunknetz der Behörden und Organisationen mit Sicherheitsaufgaben (BOSnet) soll eine verschlüsselte und gegen Ausfall besonders gesicherte Infrastruktur bereitstellen, die gerade im Katastrophenfall die Kommunikation der Einsatz- und Rettungskräfte untereinander sicherstellt. In der Unwetterkatastrophe in Rheinland-Pfalz und Nordrhein-Westfalen hat das nicht funktioniert. Warum?

Das BOSnet ist technisch ähnlich aufgebaut wie ein Mobilfunknetz der 1990er Jahre. Es ermöglicht seinen registrierten Teilnehmern Sprachkommunikation und den Austausch von kurzen Textnachrichten. In der Fläche ist es ausreichend gut ausgebaut, in Gebäuden ist unter Umständen keine Kommunikation möglich. Das Netz besteht aus Basisstationen, die wiederum an eigenen Vermittlungsstellen angeschlossen sind. Die Vermittlungsstellen sind über das Kernnetz untereinander verbunden.

Die Basisstationen empfangen die Funksignale der Endgeräte und leiten diese weiter. Dafür benötigen sie zwei Dinge: Erstens eine Verbindung zu einer BOSnet-Vermittlungsstelle (zur Weiterleitung an das BOSnet-Kernnetz) in Form eines Kabels oder einer Richtfunkstrecke. Zweitens: Strom.
Verantwortlich für den Betrieb des Systems ist die Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit Sicherheitsaufgaben (BDBOS), die dem Bundesministerium des Inneren unterstellt ist. Der Betrieb des BOSnet ist allerdings eine gemeinsame Aufgabe von Bund und Ländern. Sowohl die Auswahl der Standorte für Basisstationen als auch die für eine Basisstation zu installierende Notstromversorgung und die Art, wie und wohin ein Verbindung zur BOSnet-Vermittlungsstelle erfolgt, unterliegen der Hoheit der Bundesländer.

Laut der Vorgaben für das BOSnet muss jede Basisstation über eine unterbrechungsfreie Stromversorgung (USV) verfügen, die einen Stromausfall für einige wenige Stunden überbrücken kann. In der Praxis sind das an vielen Stellen USVs in Form von wiederaufladbaren Batterien, die das System bis zu vier oder sechs Stunden mit Strom versorgen können. Aber irgendwann ist die Batterie trotzdem leer.

Jedes Bundesland legt für seinen Verantwortungsbereich fest, auf welche Art die Versorgung der Basisstationen bei langanhaltenden Stromausfällen sichergestellt wird und realisiert die Lösung im Rahmen seiner Verantwortlichkeit. In Rheinland-Pfalz wird z.B. auf sogenannte mobile Netzersatzanlagen (mNEA) zurückgegriffen, von denen 14 beschafft und dezentral den lokalen Feuerwehren übergeben wurden, um sie bei Bedarf zum Standort einer betroffenen BOSnet-Basisstation zu bringen.

In einer kurzfristig auftretenden und großflächigen Katastrophenlage, wie sie durch die Unwetterkatastrophe in Rheinland-Pfalz und Nordrhein-Westfalen entstanden ist, kann es jedoch dazu kommen, dass die Verbringung der vorhandenen Notstromaggregate nicht schnell genug erfolgen kann. Straßen sind unpassierbar, Brücken weggespült, der Zugang zu betroffenen BOSnet-Basisstationen unmöglich. Zudem erfolgt die Kommunikations-Anbindung vieler Basisstationen über konventionelle Kabelverbindungen, z. B. Glasfaserkabel oder angemietete Übertragungsleitungen, die aus Kostengründen oft auf denselben Strecken verlegt werden, wie andere Strom- oder Kommunikationskabel. Vielfach wurden diese Kabelverbindungen durch das Hochwasser unterbrochen. Somit waren auch etliche BOSnet-Basisstationen ohne Verbindung zur BOSnet-Vermittlungsstelle und zum BOSnet-Kernnetz.

Selbst in dem Fall, dass eine solche Basisstation dann noch mit Strom versorgt ist, kann sie bestenfalls als Knotenpunkt für diejenigen Teilnehmer dienen, die an dieser Basisstation lokal angemeldet sind („Fallback-Modus“). Untereinander können die so verbundenen Teilnehmer dann noch kommunizieren. Eine Kommunikation zur Leitstelle oder jeder anderen Einheit, die keine Verbindung zur lokalen Basisstation hat, ist hingegen nicht mehr möglich. Auch neu zugewiesene Nutzer (z. B. zur Verstärkung nachrückende Katastrophenschutz-Einheiten anderer Landkreise bzw. Bundesländer) können nicht über die verbliebene Basisstation kommunizieren. Denn das notwendige Update der Nutzergruppen-Verwaltung durch die BOSnet-Vermittlungsstelle kann die betroffene Basisstation nicht mehr erreichen.

Bei der Einrichtung des BOSnet und der länderspezifischen Ausgestaltung sowohl der BOSnet-Kernnetz-Anbindungen, als auch der Notstrom-Versorgung wurde durch die Verantwortlichen eine Risikoabschätzung getroffen. Ein dermaßen großflächiger Schaden an der Infrastruktur, der so viele Verbindungen kappt und zu Stromausfällen über mehrere Tage oder Wochen führt, wurde dabei nicht berücksichtigt. Das Risiko wurde wohl als vernachlässigbar gering eingeschätzt. Aus der Sicht von vor einigen Jahren war das vermutlich eine vertretbare Einschätzung, auch wenn die Auswirkungen des August-Hochwassers in Sachsen im Jahr 2002 schon eine Warnung hätten sein können.

Nun sollten aus dieser Katastrophe und dem technischen Versagen des BOSnet Lehren gezogen werden. Dazu gehören:

  • Es muss mehr Basisstationen geben, die Gebiete redundant abdecken
  • Die Anbindung der Basisstationen zur Vermittlungsstelle muss zwingend redundant erfolgen, und zwar auf unterschiedlichen physischen Wegen (z.B. Richtfunk und Kabel, Richtfunk über unterschiedliche Zubringer, Anbindung über räumlich getrennte Kabelstrecken)
  • Alle Basisstationen müssen vor Ort über eine eigene Notstromversorgung (z.B. durch Brennstoffzellen oder Dieselaggregate) verfügen, die Ausfälle über mindestens 72 Stunden überbrücken kann.

Der Artikel wurde von unseren Mitgliedern Yves Ferrand und Mark Neis verfasst. Vielen Dank! Das Bild des Artikels wurde von Fabian Horst aufgenommen, es steht unter einer CC-BY-Lizenz.

DIY Notstromanlage – ein Erfahrungsbericht

Die Unwetterkatastrophe in NRW und Rheinland-Pfalz hat gezeigt, dass die Befürchtungen vieler Wissenschaftler schnell Realität werden können. Innerhalb von nur wenigen Stunden waren ganze Landstriche von der Außenwelt abgeschnitten. Ich selbst war mit im Krisengebiet, da meine Eltern und viele Freunde aus der Schulzeit dort wohnen. Das Bild vor Ort kann man nicht beschreiben.

Update 26.08.2021: Das Projekt ist in der stetigen Weiterentwicklung und wir freuen uns über eure Kommentare. Wir haben daher den Artikel erweitert. Ihr könnt mir gerne eine DM zukommen lassen auf Twitter

 

Wir als Gesellschaft sind gewohnt, dass alles funktioniert. Wir sind abhängig von funktionierenden Infrastrukturen. Diese Tatsache ist als Verletzlichkeitsparadoxon bekannt und gilt gerade für kritische Infrastrukturen als Hauptargument, um diese zu schützen. Es gibt mehrere Gesetze, um die Sicherheit und Verfügbarkeit dieser Infrastrukturen zu gewährleisten. Naturkatastrophen können jedoch unberechenbar und verheerend sein.

Die Gebiete, in denen ich war, wurden gerade am Anfang relativ wenig von THW und Feuerwehr unterstützt, da erst einmal die Dämme und überflutete Gebiete versorgt werden mussten. Es gab vor Ort oft keinen Strom, kein sauberes Wasser und keine Kommunikation. Aufgrund des Ausfalls des Mobilfunknetzes war bei sehr vielen Handys der Akku viel schneller als üblich leer, weil Handys in diesen Situationen mit maximaler Leistung nach verfügbaren Netzen suchen. Selbst als die Mobilfunknetze teilweise wieder funktionierten, konnten viele aufgrund der leeren Handy-Akkus und der fehlenden Stromversorgung immer noch nicht telefonieren und beispielsweise keine Hilfe organisieren oder ihre Verwandten und Freunde darüber informieren, dass es ihnen gut geht und was genau sie als Unterstützung brauchen. Zudem gab es ohne Strom auch weitere Probleme. Junge Eltern konnten mangels alternativer Kochmöglichkeiten beispielsweise den Brei oder die Milch für ihre Babys nicht erwärmen.

In diesem Projekt soll daher gezeigt werden, wie man sich auf solche Situationen vorbereiten und mit vorhandenen Mitteln vor Ort eine kleine Ersatzversorgung aufbauen kann. Normale Generatoren erfordern Treibstoff und Wartung. Zudem funktionieren sie ohne regelmäßige Testläufe gemäß Murphys Gesetz „natürlich“ gerade im Notfall nicht. Je nach Bedarf gibt es sehr viele am Markt verfügbare Optionen. So kann eine USB Powerbank reichen oder eine große unterbrechungsfreie Stromversorgung (USV) im Keller. Auch im Caravan Bedarf gibt es entsprechende Anlagen. Diese kosten aber Teils über 1.000 Euro.

Da ich bereits viel mit Strom und Photovoltaik Systemen als Hobby arbeite, entstand die Idee einer mobilen Notstromversorgung auf Photovoltaik-Basis mit Batteriepuffer. Das System sollte einen Batteriespeicher besitzen, das Laden von USB Geräten unterstützen und ein 230V Wechselstrom-System für Dinge des alltäglichen Bedarfs (Flaschenwärmer, Licht, etc.) sowie einen 12V Ausgang für Ladegeräte besitzen. Fertige Lösungen gibt es natürlich zu kaufen. Diese kosten auch entsprechend.

Eine Kernfrage bestand in der Auswahl der Batterie. Kauflösungen setzen fast ausnahmslos auf Lithium-Polymer-Akkumulatoren (auch LiPo genannt). Diese wurden in diesem Projekt jedoch ausgeschlossen, weil die Verwendung von LiPos nicht ganz trivial und erst recht nicht für jeden Handwerker geeignet ist. Zudem gibt es extreme Qualitätsunterschiede, die schnell in einem Brand enden können. Daher wurden normale KFZ-Batterien verwendet. Eine KFZ-Batterie ist überall erhältlich und kann im Worst Case auch aus einem defektem Fahrzeug vor Ort ausgebaut werden. Natürlich sind diese nicht für den Dauereinsatz geeignet, da diese nicht zyklenfest sind. Wir reden jedoch von einem Notsystem, das nur ein paar mal genutzt werden soll. LiFePO4 Akkus sind eine weitere aber noch sehr teure Alternative.

Um mobil zu bleiben, sollte nur ein kleines Photovoltaik-Panel genutzt werden. Die normalen Panele für Häuser haben meist Maße von 1 Meter mal 1,8 Metern. Dies passt nicht wirklich gut in ein Auto oder Lastenfahrrad. Grundsätzlich ist die Wahl der Technik eine Preis- und Geschmacksfrage. Um mehr aus einer kleinen Fläche zu holen, sollte ein monokristallines Modul genutzt werden, weil dieses eine bessere Energieausbeute hat. Genauso gut geht es mit den günstigeren polykristallinen Modulen.

Die letzte technische Frage bezog sich auf den PV-Wechselrichter. Dieser dient als Bindeglied zwischen dem PV-Panel und der Batterie. Es gibt zwei typische Verfahren; PWM-Laderegler (Pulsweitenmodulation) sind hierbei die einfacheren Geräte im Vergleich zu MPPT-Reglern (Maximum Power Point Tracking). Kostenmäßig sind die PWM-Geräte günstiger und reichen für die Anwendung vollkommen aus. Das Ziel bestand schließlich darin, ein günstiges Modul zu bauen.

Der Aufbau

Zuallererst sei darauf hingewiesen, dass im fertigen System auch mit Wechselspannung gearbeitet wird. Für den normalen Maker also Neuland. Arbeiten an diesen Anlagen dürfen nur von einer Elektrofachkraft durchgeführt werden. Sofern der Sinus-Wechselrichter für die 230V Systeme eine fertige Schuko-Steckdose hat, sollte dies nicht weiter ins Gewicht fallen. Aber auch mit 12V kann man bei hohen Ampere Zahlen schöne Lichtbögen erzeugen.

Der Zusammenbau ist relativ einfach und in zwei Stunden erledigt. Die Kosten belaufen sich auf ca. 320 Euro. Wenn man bestimmte Dinge anpasst, können auch die angepeilten 250 Euro erzielt werden.

  1. Um die Batterie vor dem Verrutschen zu sichern, wird eine passgenaue Bodenplatte aus Spannholz zurecht geschnitten. Diese hat eine Aussparung für die Batterie, so dass sie nicht mehr rutschen kann. Die Aussparung muss natürlich je nach Box passend geschnitten werden.
  2. Im nächsten Schritt wird der Strom angeschlossen. Die Sicherungen sollten noch nicht gesteckt sein! Es besteht Kurzschlussgefahr. Bei dem von mir genutzten PV-Set sind bereits alle Kabel enthalten. Bitte achtet bei eigenen Kabeln auf die passenden Kabelquerschnitte (6-10mm) und Sicherungen (maximal 15 cm von der Batterie weg). Als erstes wird das Kabel zum Solar Panel angeschlossen. Plus auf Plus, Minus auf Minus. Da hohe Ströme fließen, bitte fest anziehen. Das PV-Panel wird noch nicht verbunden.
  3. Danach wird die Batterie angeschlossen. In die Plus-Leitung muss eine 20A Sicherung eingebaut werden. Auch hier wieder Plus auf Plus, Minus auf Minus.
  4. Der 230V-Wechselrichter darf nicht direkt an den Solar Wechselrichter angeschlossen werden, weil er zu viel Leistung benötigt. Er muss direkt an die Batterie angeklemmt werden. Bei meinem Wechselrichter waren 2 Kabel mit dabei, welche jedoch nicht direkt angeschlossen werden konnten. Diese habe ich gekürzt, neu gecrimpt und dann entsprechend direkt an die Batterie angeschlossen. Auch hier wird direkt eine Sicherung in der Plus Leitung der Batterie eingebaut, welche ebenfalls noch nicht gesteckt ist.
  5. Am Lastausgang des Solar Wechselrichters wird eine Standard 12V KFZ Buchse angeschlossen. Auch hier ist eine Sicherung in der Buchse eingebaut. An den 12V Ausgang sollten nur kleine Abnehmer angeschlossen werden (Ladegeräte oder kleinere 12V Verbraucher wie LED-Licht).
  6. Nach Verkabelung wird das innere der Box mit Holz ausgekleidet und alles mit Holzleim verbunden. Das Holz-Paneel wird über der Batterie nur aufgelegt und kann zu Wartungszwecken geöffnet werden.
  7. Für den finalen Test werden das PV-Panel angeschlossen und die Sicherungen eingebaut. Das System schaltet sich automatisch ein. Da ich eine Nass-Batterie verwende, habe ich dies im PV-Wechselrichter eingestellt. Bitte prüft daher euren Wechselrichter daraufhin, welche Typen unterstützt werden. Dann wird die 12V Buchse an den Laptop geklemmt und geprüft, ob geladen wird. Funktioniert alles, können die Kabel noch schön verlegt werden und die Batterie initial voll aufgeladen werden.

Im geschlossenen Zustand passt es zusammen mit dem Solarpanel in den Kofferraum eines Autos oder auch in ein Lastenrad. Durch die 6 Meter Kabel kann das Modul genau dort platziert werden, wo gerade Sonne ist.

Was kann die Box?

Da man bei Bleibatterien nie die volle Leistung entnehmen sollte (maximal 50%), kann grob eine 27Ah Leistung erreicht werden, womit der 300W Wechselrichter für eine Stunde bei maximaler Last laufen kann. Natürlich nutzt der Wechselrichter selten die volle Leistung und daher reicht die Batterie im Feldbetrieb normalerweise einen Tag. Zudem wird die Batterie im Betrieb durch das Solarpanel aufgeladen. Je nach Budget und Größe der Box können natürlich größere Batterien benutzt werden. Dies erhöht aber auch das Gewicht. Mit Batterie-Schnellklemmen kann die Batterie auch schnell gegen eine andere Batterie getauscht werden. Daher sollten genügend Kabel in der Box vorrätig sein, um eine externe Batterie schnell anklemmen zu können. Die Auswahl ist daher sehr variabel.

Als geplante Verbesserung ist ein Update des Solar-Wechselrichters auf eine 30A Version geplant, an welcher auch direkt die Module einer bestehenden PV-Anlage angeschlossen werden können. So wurde zu Testzwecken ein 600W Balkonkraftwerk auf dem Gartenhaus montiert, welches aber nur als Insellösung konzipiert war. Hier können auch mehrere Batterien geladen und bei Bedarf in das mobile System eingebaut werden. Es wurde darauf geachtet, dass alle PV-Panele vor Ort (Dach, Garten, mobil) über MC4 Adapter verfügen, damit diese untereinander ausgetauscht werden können. Hierbei ist darauf zu achten, dass die PV-Wechselrichter mit der Leistung der Module klar kommen. Auch hier noch ein Warnhinweis: Die PV-Anlage auf dem Dach hat oft DC-Spannungen über 500V. Bitte niemals unter Last die Verbindungen trennen und unbedingt generell darauf achten, dass die Anlage abgeschaltet und im besten Fall verschattet ist.

Die kleine Box ist regelmäßig beim Outdoor-Einsatz mit dabei und wird auch auf den nächsten Camps vom CCC oder dem niederländischen Pendant dabei sein.

Teileliste:

  • Auto Batterie (in meinem Fall eine Anlasser Batterie, 12V, 45Ah, 400A)
  • 12V auf 230V Wechselrichter
  • 12V Buchse (ein Zigarettenanzünder aus dem KFZ-Bedarf)
  • Solar-Wechselrichter (als Set mit Solarmodul und Kabel, z.B. von Offgrid Tec. Hinweis: Die Sets sind heiß begehrt und ggf. gerade ausverkauft. Viele Baumärkte haben diese auch im Angebot.)
  • PV-Panel (ist ggf. im Set inbegriffen)
  • Anschlusskabel (ist ggf. im Set inbegriffen)
  • Werkzeug (Stichsäge, Seitenschneider, Holzleim, Crimp-Zange sind von Vorteil)
  • Spanplatten 1cm
  • Kiste zum Einbau (Hier nutze ich eine Stanley/DeWalt TSTAK, da ich mein ganzes Werkzeug hiermit organisiere.)
  • Lust am basteln

 

Ab wann ist etwas grob fahrlässig? – Historie von Cell Broadcast in Deutschland

Cell Broadcast, ein technisches System zur Aussendung von Katastropheninformationen über Mobilfunknetze, ist seit dem Hochwasser im Juli 2021 in aller Munde. Dieses System sorgt dafür, dass alle in einer Mobilfunkzelle eingebuchten Geräte eine Information erhalten. Die Information wird dabei nicht einzeln für jedes Gerät ausgesendet, sondern nur einmal – während alle Geräte diese empfangen. Dies sorgt dafür, dass ohne jegliche Kenntnis, wer die Nachricht bekommen hat (datenschutzfreundlich), die Handys in einer bestimmten Region über eine Notlage oder Katastrophe informiert werden, ohne dass das Mobilfunknetz dadurch überlastet wird.

Leider wurde dieses System in Deutschland nie für Kriseninformationen oder den Katastrophenschutz genutzt, obwohl alle Mobilfunknetze seit Anfang der 2000er Jahre technisch zu solchen Aussendungen in der Lage gewesen wären und mehrere Mobilfunknetzbetreiber sogar bis 2010 Experimente durchgeführt haben, bei denen über Cell Broadcast z.B. Verkehrs- oder Wetterinformationen ausgesendet wurden.

Eine erste technische Demonstration des Systems gab es 1997 in Paris. Seit 1999 wird die Technologie laut der Wikipedia in asiatischen, amerikanischen und europäischen Mobilfunknetzen eingesetzt, allerdings in den ersten Jahren für andere Zwecke, als Krisen- und Katastropheninformationen.

Die USA begannen 2006 mit dem Aufbau eines Systems zur Krisen- und Katastropheninformation – unter dem Titel „Wireless Emergency Alerts“ (WEA) – welches auch Cell Broadcast verwendete, um die Menschen zu informieren.

Spätestens seit 2001 ist Cell Broadcast als Möglichkeit zur Katastrophen- und Kriseninformation bekannt. Auf Seite 63 und Seite 64 des Zweiten Gefahrenbericht der Schutzkommission beim Bundesminister des Innern, herausgegeben im Oktober 2001 (https://repository.publisso.de/resource/frl:1997671-1/data), heißt es zur damaligen Situation:

„Das gegenwärtige System zur Warnung der Bevölkerung in Deutschland im Verteidigungsfall sowie bei Katastrophen und größeren Schadensereignissen besteht aus Warnmeldungen und Informationen durch den Rundfunk (Hörfunk, Fernsehen) sowie aus örtlich begrenzten Alarmierungen mit Sirenen. Seine Struktur und sein Ausbau ist für eine rasche, gleichzeitige und umfassende Warnung bei großflächigen Gefahren nicht ausgelegt“

Als mögliche Lösung wird im darauffolgenden Absatz 3.2.2 vorgeschlagen:

„Die Untersuchung von [für ein technisches Warnsystem] geeigneten Technologien und Systemen hat gezeigt, dass unter den genannten Gesichtspunkten im Wesentlichen drei Systeme mit Alarmfunktion für die Mitbenutzung in einem zukünftigen Warnsystem in Frage kommen: Mobilfunk nach GSM- oder UMTS-Standard mit Cell Broadcast-Funktion, Langwellen-Zeitfunk DCF 77 mit zusätzlicher Alarmfunktion und das Radio-Daten-System (RDS) des terrestrischen UKW-Hörfunks.“

Die Bundesnetzagentur hat sich laut Tätigkeitsbericht in den Jahren 2006/2007 sowie 2007/2008 im Rahmen der Mitwirkung an der europäischen Arbeitsgruppe „ETSI EMTEL“ mit Cell Broadcast beschäftigt. Diese Arbeitsgruppe, oder die BNetzA selbst, das wird aus dem Tätigkeitsbericht nicht deutlich, hat eine „Analyse der Anwendbarkeit von SMS und Cell Broadcast Service im Katastrophenfall“ durchgeführt.

Auch in den Bundestagsdrucksachen finden sich Spuren von Cell Broadcast – unserer Kenntnis nach erstmalig im Jahr 2008 auf Drucksache 16/9907. Dort schreibt das BMI: „Nach einem erfolgreichen Test in den Niederlanden wird dieses System im internationalen Rahmen unter Beteiligung des BBK ab 2009 untersucht.“

Die Forschungsergebnisse dieser Untersuchungen des BBK waren bisher nicht auffindbar, weswegen wir dazu eine IFG-Anfrage gestellt haben (https://fragdenstaat.de/anfrage/untersuchung-von-cell-broadcast-seit-2009/)

Seit 2012 ist Cell Broadcast als Komponente des niederländischen Warnsystems „NL-Alert“ im Einsatz und wurde bei Krisensituationen mehrfach mit großem Erfolg genutzt. Die Niederländer berichten, dass Sie mit Cell Broadcast regelmäßig mehr als 90% der Bevölkerung erreichen können.

Seit 2018 gibt es europäische Vorgaben in Artikel 110 der EU-Richtlinie 2018/1972 zur Umsetzung von Cell Broadcast im Rahmen des geplanten Systems „EU-Alert“ – das verbindlich im Juni 2022 fertiggestellt worden sein soll.

Absatz 1 beschreibt unserer Ansicht nach eindeutig Cell Broadcast im Kontext des europäischen Systems „EU-Alert“. Absatz 2 legt dann Ausnahmen dafür fest. Der Wortlaut des Absatzes lautet:

„(2) Ungeachtet des Absatzes 1 können die Mitgliedstaaten festlegen, dass öffentliche Warnungen über öffentlich zugängliche elektronische Kommunikationsdienste, bei denen es sich weder um die in Absatz 1 genannten Dienste noch um Rundfunkdienste handelt, oder über eine über einen Internetzugangsdienst verfügbare mobile Anwendung übertragen werden, sofern die Effektivität des öffentlichen Warnsystems in Bezug auf Abdeckung und Kapazität zur Erreichbarkeit der Endnutzer, auch derjenigen, die sich nur zeitweilig in dem betreffenden Gebiet aufhalten, gleichwertig ist; dabei tragen sie den GEREK-Leitlinien weitest möglich Rechnung. Öffentliche Warnungen müssen von den Endnutzern leicht empfangen werden können.“

Aus unserer Sicht lässt sich in diesem Absatz 2 der Versuch herauslesen, Apps wie NINA oder KATWARN den gleichen Status wie Cell Broadcast zu geben, aber die Formulierung lässt auch Interpretationsspielraum zu. Wir sind der Meinung, dass Apps wie NINA oder KATWARN eben nicht der „Effektivität des öffentlichen Warnsystems in Bezug auf Abdeckung und Kapazität zur Erreichbarkeit der Endnutzer, (…), gleichwertig“ sind.

Nichtsdestotrotz wird sich ein Beamter in der zuständigen Behörde sicherlich darauf berufen, dass der „GEREK-Leitlinien“ im Zweifel „weitestmöglich Rechnung“ getragen wurde und damit die Richtlinie zu EU-Alert als erfüllt gilt.

Als offene Fragen verbleiben zum jetzigen Zeitpunkt:

  • Was ist aus dem BBK-Forschungsprojekt von 2009 zu Cell Broadcast geworden?
  • Welches Ministerium hat sich 2017 und 2018 für diese schwammigen Ausnahmen in EU-Alert eingesetzt?
  • Wer trägt dafür die politische Verantwortung?

Klar ist: Seit 20 Jahren ist die Notwendigkeit von Cell Broadcast im Katastrophenschutz im BMI bekannt, wie der oben zitierte Absatz aus dem „Zweiten Gefahrenbericht der Schutzkommission beim Bundesminister des Innern“ beweist. An welcher Stelle die Umsetzung von Cell Broadcast im BMI seit 2001 gescheitert ist, ist unklar.

Vor dem Hintergrund dieser eindeutigen öffentlichen Informationen, scheint es angebracht, die Frage der groben Fahrlässigkeit des zuständigen Ministeriums und seiner nachgeordneten Behörden öffentlich zu stellen. Wenn bekannt war, dass die Alarmierung durch u.A. die Reduktion der Sirenen nicht mehr die gesamte Bevölkerung erreichen kann, warum wurde dann nicht bereits vor 10 oder 15 Jahren, als dies technisch möglich war, Cell Broadcast auch umgesetzt?

Sicherlich kann man den Schuldigen nicht alleine auf dem Stuhl des Bundesinnenministers suchen. Als der zweite Gefahrenbericht 2001 veröffentlicht wurde, saß auf diesem noch Otto Schily. Und nach Schily hatten wir fünf weitere Bundesminister des Inneren. Viel wahrscheinlicher liegt die tatsächliche Verantwortung hier wahrscheinlich bei einem Staatsekretär im Bundesministerium des Inneren – oder sogar mehreren, die diesem Thema in der Vergangenheit, bis heute in fahrlässiger Weise nicht die notwendige Aufmerksamkeit haben zukommen lassen. Ein Land, das sich gerne Hochtechnologieland nennt, sollte es auch auf staatlicher Ebene schaffen, der Technologie nicht hinterher zu rennen, sondern Vorbild und Vorreiter zu sein.

Bereits im Nachgang des Bundeswarntags im September 2020 haben wir einen Artikel veröffentlicht, in dem wir die notwendigen Learnings aus dem Bundeswarntag zusammenfassen.

Offener Brief zur Cybersicherheitsstrategie für Deutschland 2021 – Update vom 30.06.2021

Update vom 30.06.2021: Mit weiteren UnterzeichnerInnen geht der offene Brief in eine zweite Runde.

Die AG KRITIS hat den offenen Brief zur Cybersicherheitsstrategie für Deutschland 2021 mitunterzeichnet, um ein Zeichen für die Zivilgesellschaft und die kritischen Infrastrukturen zu setzen.

Hier findet ihr darüber hinaus die politischen Forderungen der AG KRITIS.