Handlungsoptionen

Die Zuordnung der Handlungsoptionen folgt einer pragmatischen Logik und ist nicht als trennscharfe Kategorisierung zu verstehen. Einzelne Optionen können Wirkungen auf mehreren Zeithorizonten entfalten, während langfristige Strukturen häufig kurzfristig vorarbeiten erfordern. Maßgeblich für die Systematisierung ist, wann eine Option realistischerweise initiiert werden kann. Sie dient somit als Orientierungsrahmen für die Priorisierung und sinnvolle Zuordnung von Verantwortlichkeiten. Entsprechend sind die Handlungsoptionen in drei Zeithorizonte gegliedert:

• Kurzfristige Optionen – Stabilisieren und sichtbar machen: Im Fokus stehen die Reduktion kritischer Schwachstellen und der Aufbau grundlegender Sicherheitsstrukturen. Dazu gehören die Herstellung von Mindestschutz und Transparenz, der Aufbau von Sicherheitsbewusstsein auf allen Ebenen der Forschungseinrichtungen, sowie eine bessere Koordination zwischen Forschungseinrichtungen, insbesondere beim Austausch über Sicherheitsvorfälle und bei der Entwicklung gemeinsamer Lagebilder.
• Mittelfristige Optionen – Differenzieren und institutionell verankern : Im Zentrum des mittelfristigen Möglichkeitsraums stehen einerseits der Aufbau und die institutionelle Verankerung von Kompetenzen und Personal, durch Personalaufbau und die Stärkung der Cybersicherheitskultur in Forschung und Lehre und andererseits die Etablierung nachhaltiger, langfristiger Strukturen für Datenmanagement und die differenzierte Berücksichtigung der Schutzbedarfe von Forschungsdaten.
• Langfristige Optionen – Transformieren und resilient machen  Im Zentrum des langfristigen Möglichkeitsraums stehen die Weiterentwicklung resilienter, lernfähiger und souveräner Sicherheitsstrukturen sowie die strategische Ausgestaltung von internationalen Forschungskooperationen

Kurzfristige Optionen: Stabilisieren und sichtbar machen 

Im kurzfristigen Möglichkeitsraum (0-2 Jahre) stehen insbesondere strukturelle Defizite wie mangelnde Asset-Transparenz, fragmentierte Koordination und unzureichendes Sicherheitsbewusstsein im Fokus (Szenario 1, in abgeschwächter Form auch in Szenario 2). Auch der langfristige Nutzen eines systematischen Lifecycle-Managements und eines gemeinsamen Lagebildes werden verdeutlicht (Szenario 3). Vor diesem Hintergrund werden zwei besonders zentrale und kurzfristig wirksame Handlungsoptionen konkretisiert:

Automatisierte Asset-Transparenz schafft auf Einrichtungsebene Transparenz über IT-Systeme und deren Schwachstellen und ist damit eine wesentliche Grundlage resilienter Cybersicherheit. Statt punktueller manueller Inventarisierung ermöglichen automatisierte Erfassungs- und Scanverfahren eine kontinuierliche, risikobasierte Bereinigung und Absicherung der IT-Landschaft. Dazu gehören die Abschaltung veralteter Systeme, ein strukturiertes Patchmanagement zur systematischen und zeitnahen Behebung bekannter Schwachstellen durch Sicherheitsupdates sowie die Identifikation schutzbedürftiger Forschungsdaten. Kurzfristig stehen insbesondere die automatisierte, vollständige Erfassung aller Geräte und Dienste, die Mehrfaktor-Authentifizierung sowie die Segmentierung und Abschottung von Operational Technology (OT), also insbesondere Steuerungs- und Betriebstechnik in Labor- und Forschungsumgebungen im Fokus, sofern diese nicht regelmäßig aktualisiert werden kann. Voraussetzung für die Umsetzung sind ausreichende Ressourcen und eine transparente Kommunikation des Nutzens für Sicherheit, Reproduzierbarkeit und Nachvollziehbarkeit der Forschung.

Koordinierte Informations-, Austausch- und Unterstützungsstrukturen sowie ein gemeinsames Lagebild bündeln auf institutionenübergreifender Ebene Erkenntnisse aus Sicherheitsvorfällen und machen sie für gemeinsame Lernprozesse nutzbar. Kurzfristig könnten zentrale Melde- und Eskalationsprozesse, standardisierte Incident-Reporting-Formate, erste gemeinsame Lagebilder sowie sichere und möglichst automatisierte Austauschplattformen etabliert und durch gemeinsame Cybersicherheitsübungen erprobt werden. Entscheidend ist dabei, Meldewege schlank und automatisiert zu gestalten, da sie sonst mit der Geschwindigkeit KI-gestützter Angriffe nicht Schritt halten können. Darauf aufbauend sind die Maßnahmen nach Einrichtungstyp und Risikoprofil weiterzuentwickeln, insbesondere durch organisationsübergreifende Lagebilder und für KRITIS-relevante Infrastrukturen durch kontinuierliches Monitoring und abgestimmte Krisenreaktionsprozesse. Klare Verantwortlichkeiten zwischen Leitungen, Chief Information Security Officer (CISO) und IT-Sicherheitsteams, lokalen Administrator/innen und externen Partnern können dabei eine koordinierte Reaktion und einen kontinuierlichen institutionenübergreifenden Lernprozess gewährleisten. Voraussetzung sind dauerhaft ausreichende personelle und finanzielle Ressourcen sowie der systematische Aufbau der erforderlichen Kompetenzen.

Mittelfristige Optionen: Differenzieren und institutionell verankern 

Im mittelfristigen Möglichkeitsraum (3-5 Jahre) stehen zentrale strukturelle Defizite im Vordergrund, die in den Szenarien sichtbar werden. Dazu zählen insbesondere der Fachkräftemangel, fehlende Kompetenzen und ein schwach ausgeprägtes Sicherheitsbewusstsein (Szenario 1) sowie Defizite in der Daten-Governance (Szenario 2). Vor diesem Hintergrund werden drei Handlungsoptionen konkretisiert:

Der gezielte Personalaufbau und die institutionelle Verankerung von Cybersicherheit im Forschungsprozess schaffen dedizierte Zuständigkeiten und stärken die personelle Basis für Cybersicherheit. Um Fachkräfte zu gewinnen und langfristig zu binden, könnten zentrale Cybersicherheitsstellen wettbewerbsfähig vergütet, mit klaren Rollenzuschnitten versehen und mit transparenten Karriere- und Entwicklungspfaden ausgestattet werden. Dazu gehören auch neue Rollenprofile an der Schnittstelle zu Forschung, IT sowie Informations- und Cybersicherheit. Zentrale Rollen sollten über klare Befugnisse und Ressourcenhoheit verfügen und als unbefristete Kernstelle verankert sein. Da sich die Cyberabwehr angesichts KI-basierter Angriffe nicht alleine durch zusätzliches Personal skalieren lässt, sollte der Personalaufbau mit einer weitreichenden Automatisierung von Prävention, Detektion und Reaktion einhergehen.

Die stärkere Integration von Cybersicherheit in Forschung und Lehre stärkt durch die Verankerung im Studienverlauf sowie kontinuierliche Sensibilisierungs- und Weiterbildungsmaßnahmen Sicherheitsbewusstsein und Kompetenzen. Sie kann ein Verständnis von verantworteter Freiheit schaffen, das den Grundwert der Wissenschaftsfreiheit wahrt und gleichzeitig das Bewusstsein für die mit Forschung verbundenen Sicherheitsrisiken stärkt. Neben der dauerhaften Verankerung in den Curricula, von Bachelorstudiengängen bis zu Promotionsprogrammen, sind auch leicht zugängliche Informationsmaterialien, regelmäßige Schulungen sowie praxisnahe Übungen für Mitarbeitende aller Ebenen einschließlich der Leitungsebene sinnvoll – möglichst differenziert nach Fachdisziplin und Einrichtungstyp, da einheitliche Lösungen nur begrenzt geeignet sind. Besondere Aufmerksamkeit erfordert dabei KI-gestütztes Social Engineering, etwa in Form von Deepfake-Anrufen oder personalisierten Angriffen auf Forschende in Bereichen mit hoher IP- oder Dual-Use-Relevanz, das als Angriffsvektor zunehmend an Bedeutung gewinnt. Darüber hinaus bedarf es eines kontinuierlichen Dialogs zwischen IT-Abteilungen, Cybersicherheitsverantwortlichen und Forschenden, in dem die jeweiligen Anforderungen aller Beteiligten vermittelt werden.

Die Differenzierung nach Schutzbedarfen sowie die Sicherstellung von Integrität und Verfügbarkeit von Forschungsdaten verbindet Schutz und Nutzbarkeit durch Orientierungshilfen, standardisierte Datenmanagementpläne und transparente, an Datentyp und Schutzbedarf angepasste Zugangsverfahren. Klare, übergreifende Regelungen und Rahmenbedingungen zur Klassifizierung unterschiedlicher Datentypen nach ihrer Sensitivität helfen Forschungseinrichtungen dabei, Zugriffsprozesse sicher zu organisieren. Ergänzend unterstützen standardisierte Orientierungshilfen mit Leitfragen und Handlungsempfehlungen bei der Erstellung strukturierter Datenmanagementpläne. Besonders sensible Datenbestände erfordern zudem eine strikte Netzwerksegmentierung und redundante Datensicherungen nach etablierten Backup-Konzepten, damit ihre Verfügbarkeit auch bei Störungen oder Cyberangriffen gewährleistet bleibt. Auf Ebene von Bund, Ländern und Forschungsverbünden ist der dauerhafte Betrieb resilienter, einrichtungsübergreifender Forschungsdateninfrastrukturen z.B. im Rahmen der Nationalen Forschungsdateninfrastruktur zentral, da die langfristige Datenverfügbarkeit nicht allein einrichtungsintern gesichert werden kann.

Langfristige Optionen: Transformieren und resilient machen 

Im langfristigen Möglichkeitsraum (5-10 Jahre) stehen strukturelle Herausforderungen im Fokus: hohe Sicherheitsanforderungen, die internationale Forschungskooperationen erheblich einschränken können (Szenario 2), sowie die auch in einem weitgehend resilienten Forschungssystem bestehende Herausforderung einer souveränen Nutzung externer IT-Anbieter und -Dienste (Szenario 3). Zwei Handlungsoptionen werden vor diesem Hintergrund konkretisiert:

Die Handlungsoption Wissenschaftliche Offenheit versus (Cyber-)Sicherheit: vertrauensvolle internationale Forschungskooperationen in Zeiten geopolitischer Fragmentierungzielt auf eine De-Risking-Strategie, die internationale Forschungskooperationen durch risikobasierte Prüfverfahren und abgestufte Kooperationsformate absichert, ohne wissenschaftliche Offenheit unnötig einzuschränken. Bund und Europäische Union sollten hierfür durch risikobasierte Kooperationsformate, gemeinsame Risikobewertungen, differenzierte Zugriffsregelungen sowie gemeinsame Sicherheitsstandards einen strategischen Rahmen für sichere internationale Forschungskooperationen schaffen. Auf Ebene der Forschungseinrichtungen bedarf es nachvollziehbarer und pragmatischer Prozesse, die Forschende dabei unterstützen, die Sicherheitsrelevanz ihrer Vorhaben einzuschätzen, potenzielle Risiken frühzeitig zu erkennen und diese bei erhöhtem Bedarf an zuständige Stellen weiterzugeben. Ergänzend bedarf es einer dauerhaften Koordination auf nationaler Ebene, wie sie in der für das Jahr 2027 angekündigten Nationalen Plattform für Forschungssicherheit angelegt ist. Darüber hinaus können Förderorganisationen Fragen der Forschungssicherheit stärker in ihre Förderverfahren integrieren, um Sicherheit von der ersten Planungsphase an fest in der Forschung zu verankern.

Die Handlungsoption Digitale Forschungssouveränität: strategische Ansätze für technologische Autonomie und wissenschaftliche Unabhängigkeit zielt auf den Aufbau und die tatsächliche Nutzung souveräner Alternativen, um Lock-in-Effekte und Abhängigkeiten von einzelnen marktmächtigen Anbietern zu begrenzen. Zu berücksichtigen ist dabei ein möglicher Zielkonflikt zwischen digitaler Souveränität und Cybersicherheit: Große kommerzielle Anbieter bieten teilweise ein hohes Schutzniveau gegenüber Cyberangriffen, schaffen jedoch zugleich Abhängigkeiten, die die digitale Souveränität einschränken. Da kurz- bis mittelfristig für viele Anwendungen und Hardwarekomponenten noch keine praktikablen souveränen, europäischen Alternativen verfügbar sein werden, gilt es, bei Nutzung externer Anbieter bestehende Risiken durch Diversifizierung zu minimieren und die eigene Handlungsfähigkeit zu erhalten. Gleichzeitig ist es essenziell, leistungsfähige, souveräne Alternativen zu schaffen, beispielsweise Open-Source- oder europäische Lösungen. Die ausdrückliche Berücksichtigung von digitaler Souveränität als Entscheidungskriterium in Beschaffungsprozessen sowie eine klare institutionelle Verankerung z.B. durch einen Chief Information Officer, sind dabei wichtige Hebel zur Stärkung souveränitätsfördernder Produkte.