Cybersecurity: Umdenken gefordert

Die Zahl der Cyberangriffe steigt rasant, doch der Umgang mit IT-Security bleibt stiefmütterlich. Wo die größten Herausforderungen liegen und was Unternehmen tun können, um ihre Widerstandsfähigkeit zu steigern, waren Themen eines COMPUTERWELT Roundtables Anfang September. [...]

Die Organisatorin und Moderatorin des Roundtables, Christine Wahlmüller, erwähnte in ihrem Eingangsstatement eine Reihe von aktuellen Studien, die alle eine unerfreuliche Entwicklung zeigen: Die Zahl der Cyberangriffe hat in den letzten Monaten massiv zugenommen. In Österreich sind die angezeigten Cybercrime-Delikte um 26,3 Prozent gestiegen (2020 vs. 2019). Bei Hackerangriffen gab es sogar ein Plus von satten 70 Prozent, wie der „Cybercrime Report 2020“ des Bundeskriminalamts bestätigt. Seitdem hat sich die Lage nicht entspannt, im Gegenteil: So hat Anfang September ein Fall Aufsehen erregt, bei dem 34 oberösterreichische Unternehmen Opfer eines Ransomware-Angriffs wurden.
„Jedes vernetzte und umsatzgenerierende Unternehmen ist ein potenzielles Ziel für Angreifer, unabhängig vom Kerngeschäft oder Bekanntheitsgrad. Gibt es Unternehmenswerte, so sind diese ein mögliches Ziel von Angriffen“, bringt es Heidelinde Rameder, Bereichsleiterin Governance, Risk & Compliance bei T-Systems auf den Punkt und fügt an: „Früher wurde mit der Schrotflinte geschossen, heute sind Scharfschützen unterwegs. Der Trend geht also stark in Richtung gezielter Attacken durch hochkompetente Angreifer. Sie evaluieren Unternehmen, identifizieren die kritischen Geschäftsprozesse und planen maßgeschneiderte Strategien.“

Die Speaker des COMPUTERWELT Roundtables haben sich zu Beginn der Diskussion der Frage gewidmet, was die Gründe für den massiven Anstieg der Cyberattacken und der Schäden in den letzten Monaten sind. Bernhard R. Fischer, Senior Security Consultant bei iQSol/Antares NetlogiX, gibt zu bedenken, dass im Zuge der Digitalisierung immer mehr IT-Systeme existieren und Unternehmen zunehmend von diesen abhängig sind. „Mehr IT-Systeme zu betreiben, bedeutet, dass mehr Schaden möglich ist – rein statistisch betrachtet.“ Das gilt natürlich auch dann, wenn man seine Infrastruktur, Applikationen oder Daten außer Haus gibt: „Wenn die Systeme outgesourct werden, bedeutet das nicht, dass sie damit abgesichert sind. Wer auch immer der Betreiber ist, Schaden hat die Firma, die das Service in Anspruch nimmt.“ Ein weiteres Problem sei, dass mit Home Office und der Möglichkeit, in der eigenen WLAN-Umgebung mit der Firma zu kommunizieren, eine weitere Schwachstelle hinzukomme, so Bernhard R. Fischer.

Europa verstärkt im Fokus

Laut Stephan Preining, Manager Security Solutions bei IBM, hat es mit der Pandemie zwei wesentliche Änderungen gegeben. „Eine unserer Stu-dien zeigt, dass User während der Krise durchschnittlich 15 zusätzliche User-IDs angelegt haben, nicht selten mit der Firmen-E-Mail-Adresse. Unsere Untersuchungen sind außerdem zu dem Schluss gekommen, dass gestohlene Anmeldeinformationen für mittlerweile 20 Prozent der Angriffe auf Unternehmen verantwortlich sind. Das heißt, dass Unternehmen sich nicht mehr darauf verlassen können, dass jemand, der sich im Firmennetzwerk anmeldet, auch der ist, der er vorgibt zu sein.“

Stephan Preining beschreibt eine weitere besorgniserregende Entwicklung: „2020 gab es erstmals in Europa mehr Security-Vorfälle als in Amerika. 31 Prozent aller weltweiten Vorfälle betreffen Europa. Das ist unter anderem darauf zurückzuführen, dass bei uns Security-Vorfälle, die auf Insider zurückgehen, 2020 explodiert sind. Mittlerweile betrifft das 16 Prozent der Vorfälle in Europa. Das ist doppelt so viel wie Amerika und Asien zusammen. Man muss heute davon ausgehen, dass die User-IDs und Netzwerke potenziell kompromittiert sind. Daher gibt es seitens der Kunden immer mehr Nachfragen nach dem Schutz der Daten, der Anwendungen und der User-IDs.“

Elmar Krainz, Studiengangsleiter Mobile Software Development an der FH Joanneum, führt an, dass viele der heutigen Probleme hausgemacht sind. Als Beispiel nennt er das Thema Mobility. „Im Vergleich zu manchen Legacy-IT-Systemen sind die zwei großen mobilen Betriebssysteme sehr sicher aufgebaut. Auf der anderen Seite gibt es den App-Markt, der nahezu explodiert. Ich greife mittels Apps auf Shopsysteme, große Infrastrukturen oder Industrieanlagen zu. Es gibt Millionen Apps und Geräte, die immer online sind. Dadurch können Security-Probleme durch eine einzige Sicherheitslücke multipliziert werden.“ Und was die Entwicklung betrifft: „Es sind oft Fehler in der Software, Schlampereien, die irgendwann zur Schwachstelle werden können“, so Elmar Krainz.

IT-Fachkräftemangel

Michael Unterschweiger, Regional Director Switzerland and Austria bei Trend Micro, bringt einen Aspekt in die Diskussion ein, von dem alle Unternehmen betroffen sind – egal ob Hersteller, Partner oder Endkunde: das Fehlen von IT-Fachkräften. „Viele Unternehmen leiden darunter, dass sie zu wenige Leute haben, um eine Vielzahl an Lösungen zu managen. Was fehlt, ist die Visibilität, die den Blick auf das gesamte Netzwerk erlaubt – über das Rechenzentrum, Cloud, hybride Strukturen und alle Endpunkte hinweg. Und wenn einmal etwas passiert ist: Sind im Netzwerk noch Angreifer? Vielen Unternehmen fehlen die Tools, um darauf reagieren zu können.“

Bernhard R. Fischer wiederum gibt zu bedenken, dass viele der angesprochenen Herausforderungen in Sachen IT-Sicherheit alles andere als neu sind. „So richtig groß wurde Cybersecurity meiner Meinung nach im Jahr 2013, als Edward Snowden die NSA-Dokumente geleakt hat. Damit hat das Thema nicht mehr nur IT-Spezialisten betroffen, sondern hat auch die Politik und das Privatleben erreicht. Auch war es schon immer ein Katz-und-Maus-Spiel, das wir auch weiterhin sehen werden.“

Herausforderungen jenseits der Technik

Wenn die Risiken schon lange bekannt sind: Warum wird in Sachen IT-Sicherheit noch immer zu wenig unternommen? „Grundsätzlich ist es so, dass ich als Distributor natürlich sehr froh bin, wenn ich Technologie in den Markt verkaufen kann“, sagt Patrick Olschewski, Team Leader Business Development DACH Security Business Unit bei Tech Data. „Wir haben immer wieder eine Technologie durch eine bessere ersetzt. Mittlerweile haben wir erkannt, dass Technologie nicht immer zielführend ist. Mit anderen Worten: IT-Security wird in vielen Unternehmen momentan zu technologisch betrachtet.“

Karl Freundsberger, Country Manager Austria bei Fortinet, schlägt in dieselbe Kerbe: „Es ist ein Zusammenspiel aus Prozessen, den Menschen und der Technologie. Der Mensch ist immer noch der größte Angriffspunkt in diesem Zusammenspiel. Und die Technologie ist immer nur so gut wie das Gesamtkonzept, in dem sie eingebettet ist. Das heißt: Nicht nur die Technologie muss besser werden, auch die Awareness. Wir müssen also viel mehr in die Schulung der Mitarbeiterinnen und Mitarbeiter stecken. Es geht beispielsweise darum, sich zweimal zu überlegen, ob man bei einem E-Mail auf einen verführerischen Link à la Gehaltsliste klicken sollte.“

Heidelinde Rameder von T-Systems weist darauf hin, dass uns die digitale Transformation überfordert, was wiederum in Sicherheitsproblemen münden kann: „Vergleicht man die Digitalisierung mit der Industrialisierung, so wird eines klar: Wir hatten als Gesellschaft viel mehr Zeit, uns auf die Entwicklung der Industrialisierung einzustellen. Sie ist langsam gewachsen. Die Digitalisierung entwickelt sich rasant und das äußert sich deutlich: Unser Wissenstand kann nicht mithalten. Das lässt sich auch im Business, das ein Spiegel der Gesamtgesellschaft ist, beobachten. Beim Umgang der Menschen mit Social Media – wo demokratiegefährdende Bewegungen stattfinden – wird klar, dass wir noch keine ausreichende Kultur entwickelt haben, um mit Aspekten der Digitalisierung wie beispielsweise Social Media umzugehen.“

Das fehlende Wissen zeigt sich etwa im Umgang mit der – durchaus intensiven – Berichterstattung über das Thema Cybercrime. Michael Unterschweiger: „Über den Postzugraub in den 1960er-Jahren hat jeder gesprochen. Darüber, dass vor kurzem Kryptowährung im Gegenwert von über 600 Millionen Dollar gestohlen worden ist, wird nur wenig geredet. Der Grund ist wohl, dass niemand richtig versteht, was da genau abläuft.“

Darauf Bernhard R. Fischer: „Müssen die Leute das überhaupt verstehen? Ich vergleiche es mit der Fahrzeugsicherheit. Ich muss nicht wissen, warum ein Gurt nicht reißt, ich muss nur wissen, wie ich ihn richtig nutze. Die besten Sicherheitssysteme retten mir nicht das Leben, wenn ich mit 200 km/h gegen eine Mauer fahre. Es ist eine Kombination aus Vernunft, also Awareness, und Technologie. Der große Unterschied zwischen Fahrzeugsicherheit und IT-Security ist, dass Fahrzeuge den Regeln der Physik folgen, Cyberkriminelle folgen gar keinen Regeln.“

Sonderfall Industriebetriebe

Laut Stephan Preining gab es im vergangenen Jahr einen massiven Anstieg bei Angriffen auf die produzierende Industrie. „2019 lagen diese noch kaum beachtet an der achten Stelle, 2020 waren sie an der zweiten Stelle nach der Finanzbranche. Dies ist unter anderem auf Angriffe auf Produktionssteuersysteme zurückzuführen, die um 50 Prozent zugenommen haben. Das ist auch naheliegend, da die Schäden in der Regel dramatisch sind, wenn die Produktion mit Ransomware stillgelegt wird. Und den Unternehmen fällt es sehr schwer, in diesem Fall nicht zu zahlen“, so Preining.

Karl Freundsberger weist darauf hin, dass die Herausforderungen im industriellen Umfeld teils hausgemacht sind. „Die Netze, die alle digitalisiert werden, sind meistens historisch gewachsen. Es wird auch nicht immer das aktuelleste IT-Equipment verbaut, XP-Rechner sind keine Seltenheit. Das bietet Angreifern viele Möglichkeiten. Ein weiteres Problem ist, dass Produktionsverantwortliche ganz andere Herausforderungen haben. Sie müssen darauf achten, dass die Maschinen laufen und dass Umsatz generiert wird.“

Karl Freundsberger zufolge müsse viel mehr Energie darin gesteckt werden, die Grenzen zwischen OT und IT aufzulösen. „Gerade mit 5G steht eine große Veränderung vor der Türe, wo zum Beispiel eine Menge Sensoren – wir nennen sie Headless Devices – ins Web kommen und damit angegriffen werden können. Man hört immer wieder, dass Angriffe über Kamerasysteme stattfinden. Viele Unternehmen haben die Gefahren noch nicht erkannt, womit wieder das Thema Awareness angesprochen ist.“

Zunächst komme das Bewusstsein, „was danach kommt, ist eigentlich keine Rocket Science“, so Freundsberger. „Es ist ein Stufenplan: Zunächst geht es darum, den Status quo des Equipments, der Sensoren und Protokolle abzufragen, danach analysiert man die Kommunikationswege. Sehr oft wissen Unternehmen nicht, wann eine Wartungsfirma auf die Produktionsanlage zugreift. Das heißt, wenn diese zugreifen kann, dann ist es auch für einen Angreifer möglich. Auf Basis der Analysen muss eventuell segmentiert werden, damit ein Angreifer nicht von einem Teil sofort auf das Gesamtnetzwerk zugreifen kann. Sobald die Herausforderungen erkannt sind, die dabei entstehen, wenn zwei Welten zusammenwachsen, werden meistens auch die Budgets freigemacht“, so Karl Freundsberger.

Patrick Olschewski weist darauf hin, dass Security im Industrieumfeld oft als Safety missverstanden wird. Zudem gäbe es noch immer Berührungsängste, wenn es um den Einsatz von IT-Lösungen geht. „Es ist spannend zuzusehen, wie sich die produzierende Industrie in Richtung IT entwickelt. Das sind tolle Ingenieure, die Security-Lösungen eher nicht von einem klassischen Security-Anbieter kaufen, sondern dazu tendieren, selbst eine Lösung zu bauen. Dazu fehlen ihnen aber die 20, 30 Jahre Erfahrung, wenn es um Angriffe in der IT-Welt geht“, so Olschewski.

Der Team Leader Business Development DACH Security Business Unit bei Tech Data berichtet von eigenen Beobachtungen: „Auf Messen findet man oft spannende Ansätze, zum Beispiel ein Device im Bereich Steuerungselektronik, das sich an der IT vorbei Analytics aus der Cloud holen kann. Das Device stammt nicht von einer kleinen Bude, sondern vom Marktführer. Man merkt, dass die Industrie zwar weiß, wo sie hinwill, sie will die Wertschöpfung der Industrie 4.0 heben, bessere Produktionsbedingungen und etwa Predictive Maintenance schaffen. Der Leidensweg, den wir in der IT seit Jahrzehnten durchmachen, der ist dort noch gar nicht angekommen. Hier geht mit kindlicher Freude eine ganze Industrie ins Internet.“

Es braucht ein Umdenken

Die Teilnehmerinnen und Teilnehmer des COMPUTERWELT Roundtables sind sich einig: Um die aktuellen und künftigen Herausforderungen zu stemmen, braucht es neue Ansätze, wobei der Schärfung des Sicherheitsbewusstseins eine zentrale Rolle zugewiesen wird. „Wir müssen Awareness schaffen, vom CEO bis zu den Mitarbeiterinnen und Mitarbeitern“, sagt FH-Joanneum-Studiengangsleiter Elmar Krainz stellvertretend für die gesamte Diskussionsrunde. „Die Awareness muss auch dahin gehen, dass IT-Security sehr aufwendig ist. Professionellen Angreifern muss ich professionell begegnen. Das bedeutet einen hohen Aufwand, man kann das nicht nebenbei machen. In der Produktion ist klar ersichtlich, dass das Laufband laufen muss. Und es wird rundherum alles unternommen, damit die Produktion aufrecht erhalten wird. In der Security wird dieser Zusatzaufwand oft nicht betrieben. Daher ist Awareness-Arbeit notwendig, die in Richtung CTO, CIO und CFO geht.“

Auch Stephan Preining ist der Meinung, dass der Impuls von der Geschäftsführung kommen muss. „Die Aufgabe des Managements ist, zu definieren, was im Unternehmen besonders schützenswert ist. Welchen Daten darf nichts passieren? Welche Produktionsteile dürfen auf keinen Fall stillstehen, weil es sonst zu massiven Schäden kommen würde? Die Antworten darauf sind die Vorgaben, aus denen die eigentlichen Security-Maßnahmen abgeleitet werden. Das Management braucht die Security nicht verstehen, muss aber die Konsequenzen kennen, wenn etwas passiert.“

„Ein Prozess, der zeigt, wie IT-Security eigentlich funktionieren sollte, ist das Qualitätsmanagement“, ergänzt Patrick Olschewski von Tech Data. „Dieses zieht sich von der Planung, über den Einkauf bis hin zu den verschiedenen Produktionsschritten durch das ganze Unternehmen. Jeder im Unternehmen hat verstanden, wie wichtig so eine Arbeit für die Qualität der Endprodukte ist. Genauso muss Security gelebt werden. Es braucht die Verantwortung der Mitarbeiterinnen und Mitarbeiter sowie die Prozesse, die dafür sorgen, dass Security gelebt wird. Diese Unternehmensphilosophie und dieses tiefe Wissen, wie wichtig die Mitarbeiter und die Prozesse sind verbunden mit einer guten, modernen Technologie, das alles macht Widerstandsfähigkeit aus – ein Wort, das wir vielleicht in Zukunft für IT-Security verwenden sollten.“

Strukturierte Maßnahmen

Heidelinde Rameder legt besonderen Wert auf eine Schritt-für-Schritt-Vorgehensweise. „Wir brauchen einen strukturierten und gleichermaßen professionalisierten Umgang mit dem Thema Security. Grundvoraussetzung ist Bewusstsein: Erst wenn die Führungsebene Security als wichtig anerkennt, kann sich die Unternehmenskultur entsprechend wandeln. Wenn das notwendige Wissen für weitere Schritte nicht vorhanden ist, muss es von außen zugeführt werden, sei es durch Partner oder Expertinnen und Experten. Im Anschluss wird strukturiert evaluiert, was die kritischen Geschäftsprozesse sind. Auf Basis dessen wird Risikotransparenz hergestellt, um darauf abgestimmte Maßnahmen zu identifizieren und priorisieren.“ Und: „Wenn wir das Thema Security richtig behandeln, kann es zu einem Wettbewerbsvorteil werden.“

Zertifizierungen helfen

„International anerkannte Standards – und darauf basierende Zertifizierungen – sind Frameworks, die Unternehmen einfach nutzen können, um ihr Sicherheitsniveau Stück für Stück erhöhen können“, sagt Heidelinde Rameder. Kritisch sehe sie allerdings, wenn Unternehmen Zertifizierungen ausschließlich deshalb machen, weil sie etwa von Kunden verlangt werden. „Der damit verbundene Aufwand wird dann als Overhead und als Behinderung des Business betrachtet.“

Karl Freundsberger stimmt dieser Einschätzung zu: „Unternehmen, die gezwungen werden, etwa wegen Lieferbedingungen Zertifizierungen zu machen, sehen den Wert des Ganzen noch nicht. Mir ist ein Fall eines Unternehmens bekannt, das sich zertifizieren ließ, aber auf dem Weg zur Rezertifizierung nichts von den empfohlenen Qualitätssicherungs- und Weiterentwicklungsmaßnahmen realisiert hat. Hier wurde die Zertifizierung nur als Budgetkostenpunkt gesehen, nicht aber als Mehrwert.“

Laut Patrick Olschewski von Tech Data wirkt der vermutete Aufwand der Zertifizierungen abschreckend. „Viele Unternehmen bekommen beim Thema Compliance Schweißausbrüche, weil sie denken, dass sie unendlich viele Prozesse und Dokumente abarbeiten müssen. Doch die hier beschriebenen Strukturen helfen Unternehmen dabei, sich Stück für Stück zu entwickeln, wodurch sie widerstandsfähiger werden.“ Ein großes Problem sei, dass die Richtlinien in ihrer Grundform sehr abstrakt geschrieben und schwer verständlich sind. „Wenn wir als IT-Fachkräfte sie etwas besser verpacken würden, würden sie von den Kunden leichter adaptiert werden. Sie sollen so geschrieben sein, dass sie auch von einem Maschinenbauern verstanden werden. Die Strukturen und Ansätze sind also alle da, sie müssen nur übernommen, gelebt und von uns in leicht verständlicher Sprache transportiert werden. Dann wird auch mehr Widerstandsfähigkeit in den Unternehmen existieren.“

Die richtigen Fragen stellen

Bernhard R. Fischer unterstreicht die Bedeutung der Partner, wenn es um das Thema Zertifizierung geht. „Der IT-Leiter muss sich nicht mit 500-seitigen Sicherheitshandbüchern auseinandersetzen. Dafür gibt es Firmen wie uns, die sich darauf spezialisiert haben. Die Unternehmen müssen ohnehin viel selbst machen. Consultants können nicht entscheiden, welche Systeme wichtig sind. Wir können ihnen aber dabei helfen, die richtigen Fragen zu stellen.“

Wie Standards und Frameworks auf effiziente Art und Weise in Unternehmen integriert werden können, zum Beispiel in das Qualitätsmanagement, erörtert Heidelinde Rameder: „Wichtig ist zu wissen, dass nicht alles sofort umgesetzt werden muss. Es bietet sich an, High Level zu beginnen und den Reifegrad sukzessive zu erhöhen. Langfristig gesehen ist das nicht nur der effizienteste Weg, sondern gibt zudem die nötige Zeit, um hohe Qualität beim Vorgehen sicherstellen zu können.“

Für Stephan Preining ist „die Regulatorik sicherlich ein Treiber. Ich sehe aber auch, dass durch die Digitalisierung, speziell durch das Cloud-Thema, das Security-Thema an Bedeutung gewinnt. Bringe ich Anwendungen in die Cloud, wird Security regelmäßig diskutiert. Damit geht das Thema auch viel stärker in die Breite und hat in der weiteren Folge Auswirkungen auf die traditionelle IT. Hier sehe ich einen Fall, wo die Unternehmen von sich aus, auch ohne externen Druck durch Regulatorik, stärker in Richtung Security gehen.“

Eine generelle Verbesserung des IT-Security-Bewusstseins sei mit der Nachfolge der Digital Natives zu erwarten, sagt Bernhard R. Fischer: „Ich glaube, dass es vielleicht auch eine Frage des Generationswechsels in der IT ist. Gerade in österreichischen mittelständischen Unternehmen, egal in welcher Industrie, herrscht oft immer noch ein Mindset wie vor zwanzig Jahren. Das wird sich natürlich mit der nächsten Generation ändern. Die nachkommende Generation ist bereits mit Computern groß geworden.“

Security-Schulung sollte bei den Kindern beginnen

„Bewusstseinsbildung muss viel früher ansetzen, und zwar in den Schulen – Hand in Hand mit der Digitalisierung“, sagt Heidelinde Rameder. „Immerhin schulen wir unsere Kinder, im Verkehr aufzupassen und auch das Thema Security muss mit vergleichbarer Priorität in der Bildung verankert werden. Nur so kann ein flächendeckendes Grundverständnis für Security hergestellt werden. Ansonsten stehen Unternehmen vor dem schwierigen Unterfangen, Mitarbeitenden später im Leben von der Wichtigkeit und Schwere des Themas zu überzeugen.“

Zum Glück passiert in dieser Richtung schon einiges. Beispiel Trend Micro: „Wir haben ein Internet-Sicherheitsprogramm für Kinder und Familien“, sagt Michael Unterschweiger. „Wir gehen in die Schulen und versuchen einerseits, die Kinder für das Thema zu gewinnen – wir brauchen sie in der Zukunft – und andererseits Awareness zu generieren: Wie sollte ein Passwort aussehen? Wie oft soll man es wechseln? Was für Gefahren lauern da draußen? Man gibt den Kindern Mobilgeräte in die Hand ohne etwas dazuzusagen. Da versuchen wir, ein wenig aufzuweichen und auch gezielt die Eltern mit ins Boot zu holen. Unser Ziel ist es, in den nächsten drei Jahren 10.000 Kinder durch dieses Programm in der Schweiz und in Österreich zu bringen. Weltweit waren es schon über drei Millionen. Es sind Themen, die wir als Gesellschaft alle gemeinsam angehen müssen.“ Auch im Bildungssystem brauche es Veränderungen: „Medienkompetenz ist leider nur ein sehr kleines Thema in der Schule, zumindest in der Schweiz. Zudem sind viele Eltern komplett überfordert.“ Christine Wahlmüller fügt an, dass die Situation in Österreich nicht anders ist.

Was die Security-Ausbildung auf höheren Bildungsstufen betrifft, so bestätigt Elmar Krainz, dass das Thema an der FH Joanneum ein zentraler Punkt sei, „quasi ein roter Faden. Ziel ist es, dass jede Absolventin, jeder Absolvent eines Grundstudiums das Thema stets im Bewusstsein hat.“ In den Masterprogrammen fokussiert die FH Joanneum einerseits auf die Absicherung von Infrastrukturen, andererseits bei der Entwicklung von Software auf deren Qualität. Im Bachelor-Programm sind ungefähr 180 Studierende in verschiedenen Jahrgängen – berufsbegleitend oder in Vollzeitvarianten. Im Masterprogramm hat die insgesamt 40 Studierende. „Die Absolventinnen und Absolventen werden alle vom Fleck weg engagiert“, sagt Krainz und weist damit auf die hohe Nachfrage nach IT-Fachkräften hin.

„Eins ist sicher: Sicher werden wir sicherlich nicht so schnell“, wie es Patrick Olschewski formuliert. Es bleibt also genug zu tun.