Computer-Attacken Der große Hack ist keine Legende

Aufregung und Häme hielten sich die Waage, als sich der Hackerangriff auf ein Wasserwerk in Illinois als Fernwartung herausstellte. Ein amerikanisches Sicherheitszentrum hatte vor einem Monat über einen Cyber-Angriff von einem russischen Internetserver auf ein Bezirkswasserwerk berichtet, bei dem angeblich eine Pumpe zerstört wurde. Ein Hacker mit dem Kampfnamen „pr0f“ drang daraufhin in das Steuerungssystem eines Wasserwerks in South Houston ein und dokumentierte den Hack mit Bildschirmfotos. Beim Cyber-Angriff in Illinois stellte sich allerdings dann heraus, dass der Inhaber eines Wartungsunternehmens während seines Urlaubs in Russland Arbeiten am Steuerungssystem der Pumpen vorgenommen hatte.

Das amerikanische Heimatschutzministerium gab nicht nur Entwarnung, sondern verwies Cyber-Angriffe auf Wasserwerke sogleich in das Reich der Legenden. Zum Angriff auf das Steuerungssystem des Wasserwerks in South Houston schweigt die Sicherheitsbehörde allerdings. Das amerikanische IT-Sicherheitszentrum ICS-Cert will die Cyberattacke herunterspielen und verweist darauf, der Hacker namens pr0f habe ja keinen Schaden angerichtet. Verschiedene Online-Dienste machten aus den beiden Cyber-Attacken in ihrer Berichterstattung gar nur eine und hielten sie für widerlegt.

Organisierte Kriminalität wittert ein Geschäftsfeld

Gleichzeitig fragen nicht nur prominente Kritiker der amerikanischen Cyber-Sicherheitspolitik wie der frühere Präsidentenberater Richard A. Clarke, wie gefährdet denn sogenannte kritische Infrastrukturen wie Stromnetze, Kraftwerke oder Wasserwerke wirklich sind. Denn die Cyber-Truppen fast aller Armeen üben regelmäßig den Angriff auf Steuerungsrechner von Industriebetrieben, Eisenbahnen, Wasserwerken und anderer kritischer Infrastruktur. Und die organisierte Kriminalität wittert hier ein neues Geschäftsfeld für Schutzgelderpressungen.

Bisher haben sich Katastrophenschützer und Sicherheitsforscher hauptsächlich damit beschäftigt, wie die Auswirkungen solcher Cyber-Attacken in den Griff zu kriegen sind. „Dabei hat sich zum Beispiel herausgestellt, dass wir fünf Tage nach einem Cyber-Angriff auf unsere Stromnetze Bürgerkrieg in Deutschland hätten“, erläutert der IT-Sicherheitsforscher Hartmut Pohl von der Hochschule Bonn-Rhein-Sieg.

Sicherheitslücken öffentlich machen

Auch bei der kürzlich veranstalteten Lükex-Übung haben sich die Katastrophenschützer in erster Linie darum gekümmert, die Folgen von Cyber-Attacken auf Strom- und Handynetze einigermaßen beherrschbar zu halten. Cyber-Angriffe sowie die ihnen zugrundeliegenden Sicherheitslücken gelten nach der derzeitigen IT-Sicherheitsdoktrin deutscher und amerikanischer Regierungsbehörden als unvermeidbar, quasi als naturgegeben.

Der Hintergrund dieser Einschätzung ist so simpel wie interessant. Die IT-Sicherheitsbehörden sind gehalten, Schwachstellen nur dann zu veröffentlichen, damit sie geschlossen werden können, wenn andere Regierungsstellen, wie zum Beispiel Nachrichtendienste oder das Militär, diese Sicherheitslücken nicht für die eigene Arbeit benötigen. Deshalb gibt es auch weder in den Vereinigten Staaten noch hierzulande eine gesetzliche Verpflichtung beispielsweise der Behörden, Sicherheitslücken öffentlich zu machen respektive an deren Beseitigung mitzuarbeiten.

„World Wide War“

„Je stärker kritische Infrastrukturen wie Stromnetze oder Wasserwerke über das Internet vernetzt sind, desto leichter sind sie angreifbar“, meint der amerikanische IT-Sicherheitsberater Robert K. Knake, der gemeinsam mit Richard Clarke das Buch „World Wide War“ über die Cyber-War-Strategien der verschiedenen Regierungen geschrieben hat.

Nur aufgrund des geringeren Vernetzungsgrades gelten Steuerungssysteme für Industrieanlagen und öffentliche kritische Infrastrukturen in Deutschland als weniger leicht angreifbar als vergleichbare Systeme in Amerika. Einige Sicherheitsanalytiker und Forscher wie etwa Sandro Gaycken von der Freien Universität Berlin haben daraus die Forderung nach einer Entnetzung kritischer Infrastrukturen abgeleitet. Natürlich können Steuerungssysteme für Pumpen in Wasserwerken oder für Stellwerke von Eisenbahnunternehmen in der heutigen Zeit nicht mehr als völlig isolierte Systeme betrieben werden. So beziehen zum Beispiel Steuerungsrechner für die Heizungsanlagen von Eisenbahnweichen Wetterdaten über das Internet. Das lässt sich auch nicht mehr auf eine manuelle Eingabe der Prognosedaten fürs Wetter zurückdrehen. „Man muss dann die Datenübergabe entsprechend abgesichert organisieren“, meint der Karlsruher IT-Sicherheitsexperte Markus Hennig.

Ständig auf Sicherheitslücken untersuchen

Das Gleissteuerungsnetz kann dann zwar vom Internet entkoppelt betrieben werden, aber es weist Schnittstellen für die Datenübergabe auf. „Die Internet-Protokollfamilien sind nie für sicherheitskritische Anwendungen entwickelt worden“, meint Sandro Gaycken und fordert deshalb prinzipiell entkoppelte Netze für den Betrieb von kritischen Infrastrukturen. Diese entkoppelten Spezialnetze brauchen aber einen Übergang ins allgemeine Internet, um Daten auszutauschen. „Diese Schnittstellen für den Datenaustausch können mit gängigen Sicherheitstechniken so gut abgesichert werden, dass sie ein ähnlich geringes Risikoniveau bieten wie analoge Schaltsysteme“, erläutert Markus Hennig.

Kernkraftwerke in Deutschland bieten zum Beispiel ein ausgesprochen geringes Cyber-Angriffsrisiko, weil die Reaktorsteuerungssysteme mit analoger Schalttechnik betrieben werden und nur isolierte Verwaltungsrechner der Betreibergesellschaften Internetkonnektivität aufweisen. Ausgestattet sein müssen derartige Schnittstellen für den Datenaustausch vom allgemeinen Internet in entkoppelte sicherheitsrelevante Netze mit ziemlich aufwendiger und komplexer Sicherheitstechnik. Die Netze, über den der internationale Wertpapierhandel abgewickelt wird, weisen schon seit einigen Jahren ausgesprochen komplexe Sicherheitssysteme auf. So müssen zum Beispiel alle Dateien, die in ein solches sicherheitskritisches Netz transferiert werden sollen, auf einem Transferserver mit eigens abgesicherten Speichereinheiten auf eventuelle Schadensrisiken untersucht werden. Man nennt diesen Sicherheitsmechanismus Sandbox- oder Sandkastenverfahren.

Außerdem werden alle Schnittstellen und Transfersysteme ständig auf Sicherheitslücken untersucht. Dabei generieren Fuzzer genannte Angriffsprogramme zufällige Daten und geben sie in das zu testende Zielsystem ein. Mit einer Monitoring-Software wird das Laufzeitverhalten des Systems untersucht. Treten Anomalien auf, so startet eine Analyse der Einsatzbedingungen. Dadurch lassen sich etwaige Sicherheitslücken automatisiert erkennen. Weiterhin werden die Nutzdaten vor der Einspeisung in das sicherheitsrelevante Netz in einen „Datencontainer“ eingebettet. Dieser erhält ein eigenes verschlüsseltes Sicherheitszertifikat. Nur damit versehene Datencontainer dürfen vom Transfercontainer in das Sicherheitsnetz weitergeleitet werden.

Weitere Artikel

• Internet: Cyberwar – was ist das? 
• Cyberwar: Alles wird zur Ware 
• Gewähren Sie Einsicht, Sir: die Vereinigten Staaten rüsten sich für den Cyberwar 
• Aus dem Maschinenraum: Kybernetische Krieger werden überschätzt Von Constanze Kurz 

Die wenigen Hochsicherheitsnetze, die schon heute mit derartigen Sicherheitstechniken arbeiten, verwenden vierstellige Schlüssel für die Containerzertifikate. Zumeist wird mit 1028 Bit langen Schlüsseln gearbeitet. Bei dieser Länge sind auch Supercomputer mehrere Jahre mit der Entschlüsselung beschäftigt. Um das Abhorchen der Prozessoren beim Verschlüsseln selbst zu verhindern, also sogenannte Seitenkanalattacken auszuschließen, arbeiten die Prozessoren in einer abgeschirmten Umgebung und werden zudem mit verschiedenen Rauschfrequenzen abgesichert. Die alte Tresorknackermethode, mit einer Sonde Stromverbrauch und elektromagnetisches Feld der Prozessoren beim Verschlüsseln abzuhorchen und daraus den Schlüssel zu berechnen, wird dadurch unterbunden.

Sicherheitsexperten fordern eine solche Entkopplung samt Installation zusätzlicher Sicherheitstechniken für alle kritischen Infrastrukturen wie Raffinerien, Lastverteilungsrechner für das Stromnetz, Steuerungssysteme für Pumpen in Wasserwerken, Notstromaggregate und Kommunikationsnetze. Doch Kostenargumente und der Wunsch der Nachrichtendienste, den Datenverkehr in möglichst allen Netzen auswerten zu können, verhindern die Umsetzung solcher Sicherheitsstrategien. So lange bleibt der große Hack eine reale Gefahr.