Haben Hacker in der Schifffahrt leichtes Spiel?

In einer Zeit, in der bewaffnete Banden Schiffe im Roten Meer überfallen und das Schwarze Meer praktisch zu einem Kriegsgebiet geworden ist, mag es übertrieben erscheinen zu behaupten, dass Hacking wohl die derzeit größte Bedrohung für die Geschäftskontinuität in der Schifffahrt darstellt.

Doch der Wandel der Schifffahrtsbranche von einem Nischengeschäft, das durch geringe Bandbreite und maßgeschneiderte Anwendungen isoliert war, zu einem hochkarätigen Ziel mit politischer und wirtschaftlicher Bedeutung hat ihr unerwünschte Aufmerksamkeit beschert.

Natürlich gibt es Gegenmaßnahmen, und eine Kombination aus regulatorischen Vorgaben und Branchenstandards hat dazu beigetragen, das Kräfteverhältnis auszugleichen, doch ist dies ein Spiel, das nach wie vor eher zugunsten der Angreifer als der Verteidiger ausgeht.

Es besteht ein großes Gefälle zwischen den Vorreitern, den Nachzüglern und den Schlusslichtern, und gerade bei dieser letzten Gruppe sollte die Sorge am größten sein.

Bis vor kurzem haben sich diese auf Antivirensoftware und viel Daumendrücken verlassen, doch da sich das Kräfteverhältnis zugunsten der Hacker verschiebt, kommt nun eine Kombination aus proaktivem Schutz und Regulierung ins Spiel.

Die Einhaltung von Cybersicherheitsvorschriften ist für die meisten Reedereien noch Neuland. Dies begann mit den Ergänzungen der IMO zum ISM-Code im Jahr 2021, die in Wirklichkeit eher einen Leitfaden für bewährte Verfahren darstellten als eine regulatorische Grundlage. Die TMSA- und SIRE-Standards verlangen höhere Nachweispflichten, diese sind jedoch branchenspezifisch.

Die US-Küstenwache wird regionale Maßnahmen einführen, und die IMO hat Cybersicherheit auf ihrer Agenda für künftige Regulierung, doch in der Zwischenzeit sind die neuesten Vorschriften die IACS-Einheitsanforderungen E26 und E27.

UR E26, das verbindliche Cybersicherheits-Grundlagen für Neubauten vorsieht – mit einer begleitenden Vorschrift E27 für Schiffssysteme –, ist wohl das erste Beispiel für konkrete Standards zur Cybersicherheit, stellt jedoch in Bezug auf die Compliance-Anforderungen nur eine relativ niedrige Hürde dar.

Ihre Anwendung ausschließlich auf Neubauten wirft eine wichtige Frage auf: Warum sollten Reeder Cybersicherheitsvorschriften nur auf diese Schiffe anwenden, wenn sie über ein oder zwei Jahre alte Schiffe von ähnlichem Wert im Einsatz haben, die vermutlich ähnliche Risikoprofile aufweisen?

Natürlich bieten Organisationen wie Klassifikationsgesellschaften Vermerke und Leitlinien für bestehende Schiffe an, doch besteht stets die Sorge, dass nicht verbindliche Maßnahmen keine Priorität erhalten.

Warum schützen sie ihre bestehenden Anlagen nicht in gleichem oder höherem Maße? Die Anlagenwerte sind ähnlich, das Frachtrisiko gleich oder höher, und die Auswirkungen eines erfolgreichen Angriffs auf die Bilanz und die Geschäftskontinuität wären gleich oder größer.

Wie ein altes Sprichwort eines andorranischen Ziegenhirten sagt: „Ein Mann mit zwei Häusern lässt nicht das eine unverschlossen, um das andere zu schützen.“

Indem sie die IACS-Mindeststandards nur auf Neubauten und nicht auf ihre bestehenden Schiffe anwenden, gehen Reeder zusätzliche Risiken ein, anstatt ihr Risikoprofil insgesamt zu verringern.

Die Fähigkeit der Houthi-Rebellen, Schiffe anzugreifen, von denen sie glauben, dass sie in direktem Zusammenhang mit ihren Feinden stehen, verdeutlicht, wie leicht Daten über Flottenbesitz und -einsatz zugänglich sind. Es gibt immer weniger Orte, an denen man sich verstecken kann.

Der Druck, ähnliche Maßnahmen auch auf bestehende Schiffe anzuwenden, dürfte zunehmen, wobei Charterer und Versicherer am besten in der Lage sind, Druck auf die Reeder auszuüben, um sicherzustellen, dass die Einhaltung der Vorschriften flottenweit einheitlich ist.

In Wirklichkeit müssen sie noch weiter gehen. Die Bestimmungen der IACS-URs sind nicht unumstritten; Kritiker befürchten, dass die Einhaltung der Vorschriften eher durch das Abhaken von Checklisten als durch positives Handeln vorangetrieben wird. Dabei wird übersehen, dass es bei der Erzielung eines Konsenses innerhalb der IACS, wie bei vielen ähnlichen Organisationen, um Kompromisse geht.

Der wachsende Druck im Bereich Cybersicherheit ermöglicht es Reedereien, die Mindeststandards zu erfüllen, und gibt ihnen die Freiheit, noch weiter zu gehen und strengere Ansätze in Bezug auf Technologie, Schulungen, Verfahren und Sensibilisierung zu verfolgen.

Die Erfahrungen mit bewährten Branchenstandards zeigen, dass diese das Bewusstsein für Cyberrisiken in der Lieferkette verankern und zu einer Voraussetzung für die Geschäftstätigkeit machen können.

Reeder müssen sich der unangenehmen Wahrheit stellen, dass sie, um ihren Status als seriöse, investitionswürdige Betreiber zu behalten, ein umfassendes Cyber-Audit ihrer gesamten Flotten durchführen müssen, wobei UR E26 als Ausgangspunkt, aber nicht als Endpunkt dienen sollte.