Kürzlich bekannt gewordene Sabotageversuche an Umspannleitungen zeigen, wie verwundbar kritische Infrastrukturen sind. Doch wie lässt sich der Ernstfall trainieren, wenn reale Übungen den laufenden Betrieb beeinträchtigen oder sich nur mit großem Aufwand durchführen lassen?

Hier setzt das im MFG Programm CO.VISION geförderte Projekt Visible Risk an. In einer Partnerschaft entwickeln VICCON und das Institute for Security and Safety aus Ettlingen eine immersive VR-Simulation für Sicherheitstrainings in Umspannwerken. Im Interview erklären Mary-Jane Bollweber und Dmytro Cherkashyn, welchen Beitrag das Projekt zum Schutz kritischer Infrastrukturen leisten kann.

Welchen Mehrwert hat Visible Risk für die Prävention von Sabotageversuchen?

Visible Risk macht Bedrohungsszenarien nicht nur sichtbar, sondern unmittelbar erlebbar. Durch die virtuelle Nachbildung von Umspannwerken und kritischen Infrastrukturen können Teilnehmende realistische Angriffs- und Sabotageszenarien durchlaufen, ohne Risiken für den laufenden Betrieb zu erzeugen.

Der besondere Mehrwert liegt darin, dass Mitarbeitende lernen, sicherheitsrelevante Situationen frühzeitig zu erkennen, Risiken richtig einzuschätzen und angemessen zu reagieren. 

Die Sicherheitsbeauftragten können hunderte oder tausende Kilometer von der Anlage entfernt sein und die Trainings oder Begehungen trotzdem jederzeit durchführen. Das funktioniert ohne Betriebsstörungen, Reiseaufwand, zusätzliche Sicherheitsanweisungen und andere Formalitäten.

So stärkt das Training Sicherheitsbewusstsein und Handlungsfähigkeit und unterstützt die Prävention von Vorfällen genauso wie die Vorbereitung auf den Ernstfall.

Was kann euer Training leisten, das klassische Sicherheitsunterweisungen oder theoretische Szenarien nicht leisten können?

Klassische Schulungen vermitteln Wissen. Visible Risk vermittelt quasi-praktische Erfahrungen. In der immersiven Umgebung treffen Teilnehmende Entscheidungen unter realitätsnahen Bedingungen und erleben unmittelbar die Folgen ihres Handelns. Dadurch entstehen nachhaltigere Lernerfolge als durch reine Präsentationen oder theoretische Fallbeispiele.

Übungen mit Drohnenabwehr, Untersuchungen von Anlagen aus dem Hubschrauber oder mittels Drohnen sowie die Sprengstoffsuche auf einer Anlage sind in der Realität sehr komplex und teuer zu organisieren. Sie regelmäßig zu wiederholen, ist daher kaum realistisch. Visible Risk ermöglicht es mit nur einem Bruchteil der Kosten und ohne bürokratischen Aufwand.

Wie nah sind die aktuellen Vorfälle an den Szenarien, die ihr im Projekt bearbeitet?

Unser primäres Szenario war der physische Angriff auf relevante digitale Komponenten auf der Anlage. Die Angreifer hatten das Ziel, den physischen Zugriff auf die digitalen Komponenten für Cyberangriffe auf mehrere Standorte zu nutzen.

Die in den Medien beschriebenen Vorfälle zeigen, dass physische Angriffe auf kritische Infrastrukturen keine theoretische Bedrohung mehr sind. Angreifer fokussieren sich nicht nur auf die eigentliche Anlage, sondern auch auf dazugehörige Infrastruktur-Objekte, die sich schwer schützen lassen. 

Visible Risk betrachtet unterschiedliche Angriffspfade, darunter physische Eindringversuche, das Ausnutzen organisatorischer Schwachstellen oder die Umgehung bestehender Schutzmaßnahmen wie Überwachungskameras. Die jüngsten Vorfälle unterstreichen die Bedeutung eines ganzheitlichen Sicherheitsansatzes, bei dem technische, organisatorische und menschliche Faktoren gemeinsam betrachtet werden.

Eine zentrale Erkenntnis ist, dass Resilienz nicht erst im Ereignisfall entsteht. Entscheidend sind Vorbereitung, Training und die Fähigkeit von Mitarbeitenden, Auffälligkeiten frühzeitig zu erkennen und richtig zu reagieren.

Wo steht Visible Risk aktuell und was sind die nächsten Schritte?

Visible Risk verfügt bereits über einen funktionsfähigen Demonstrator sowie eine zugrunde liegende Engine-Plattform. 

Die nächsten Schritte bestehen darin, die Szenarien für relevante Kundenfälle weiter auszubauen und zusätzliche Anwendungsfälle wie Drohnenabwehr oder Untersuchungen zu integrieren. Auch eine Multiplayer-Funktionalität ist geplant, damit mehrere Nutzer*innen in derselben Umgebung interagieren können. Gemeinsam mit Betreiber*innen kritischer Infrastrukturen soll das Training praxisnah weiterentwickelt werden.

Ziel ist es, eine Lösung bereitzustellen, die sowohl für Schulungen als auch für Sensibilisierung, Übungen und Sicherheitsbewertungen eingesetzt werden kann.