KRITIS
Iranische Cyberaktivitäten: Risiken für deutsche OT- und Strominfrastrukturen
Wie gefährdet ist Deutschlands Stromversorgung?
Ein Cyberangriff auf einen britischen Energieerzeuger rückt die Verwundbarkeit industrieller Steuerungssysteme erneut in den Mittelpunkt. Noch fehlen belastbare technische Details zu dem Vorfall – doch das Angriffsmuster ist keineswegs neu. Für deutsche Energieunternehmen stellt sich deshalb weniger die Frage, ob sie grundsätzlich ins Visier geraten können, sondern wie gut sie auf Angriffe gegen ihre OT-Infrastruktur vorbereitet sind.
Dr. Martin J. Krämer, CISO Advisor bei KnowBe4 ordnet ein.
Was bei dem Angriff auf den britischen Energieerzeuger tatsächlich passiert ist, lässt sich derzeit nur eingeschränkt beurteilen. Die bislang veröffentlichten Informationen beruhen überwiegend auf anonymen Quellen, eine umfassende technische Analyse steht noch aus.
Bekannt ist allerdings, dass die Auswirkungen auf das Stromnetz offenbar gering oder gar nicht vorhanden waren. Auch die Tatsache, dass die betroffene Anlage für mehrere Tage vom Netz genommen werden konnte, ohne die Versorgungssicherheit wesentlich zu beeinträchtigen, spricht dafür.
Eine belastbare Bewertung des konkreten Vorfalls ist damit noch nicht möglich. Dennoch lassen sich aus bekannten Angriffsmustern bereits Rückschlüsse auf die mögliche Gefährdung deutscher Energieerzeuger ziehen.
Iranische Akteure haben westliche OT-Systeme bereits im Visier
Akteure, die dem iranischen Regime zugerechnet werden, haben in der Vergangenheit mehrfach gezeigt, dass industrielle Steuerungssysteme westlicher Organisationen zu ihren Angriffszielen gehören.
Die US-Cybersicherheitsbehörde CISA warnte beispielsweise in ihrem Advisory AA26-097A vor anhaltenden Angriffen auf internetexponierte Operational-Technology-Systeme unter anderem von Rockwell Automation, Schneider Electric und Siemens.
Eine Ausweitung entsprechender Aktivitäten auf europäische Staaten erscheint deshalb durchaus realistisch. Besonders Länder, deren politische Haltung gegenüber Iran jener der USA oder Großbritanniens ähnelt, könnten verstärkt in den Fokus geraten. Deutschland gehört potenziell dazu.
Aus technischer Sicht unterscheiden sich deutsche Energieerzeuger zudem kaum von vergleichbaren Unternehmen in Großbritannien. Auch hier kommen teilweise Steuerungs- und Fernwartungssysteme zum Einsatz, die direkt oder indirekt über das Internet erreichbar sind. Genau darin liegt ein wesentlicher Risikofaktor.
Shodan statt strategischer Zielauswahl
Besonders problematisch ist, dass für einen Angriff nicht zwingend eine langwierige strategische Auswahl des Opfers notwendig ist.
Suchmaschinen wie Shodan ermöglichen es, öffentlich erreichbare Systeme und Geräte im Internet zu identifizieren. Angreifer können damit nach bestimmten Steuerungen, Fernwartungssystemen oder Herstellern suchen und verwundbare Systeme gezielt herausfiltern.
Damit kann bereits eine falsch konfigurierte oder unnötig exponierte Steuerung ausreichen, um ein Unternehmen auf den Radar eines Angreifers zu bringen.
Kleine und dezentrale Energieerzeuger könnten dabei besonders interessant sein. Betreiber von Solarparks, Windkraftanlagen, Batteriespeichern oder kleineren Generatoren verfügen häufig über stark automatisierte und ferngesteuerte Infrastrukturen, gleichzeitig aber nicht immer über dieselben Security-Ressourcen wie große Energieversorger.
Nicht nur Energieunternehmen sind gefährdet
Das Risiko beschränkt sich allerdings nicht auf den Energiesektor. Auch Wasser- und Abwasserversorger, öffentliche Einrichtungen sowie Industrie- und Fertigungsunternehmen können betroffen sein – insbesondere dann, wenn sie industrielle Steuerungssysteme und speicherprogrammierbare Steuerungen der bereits bei Angriffen beobachteten Hersteller einsetzen. Entscheidend ist dabei nicht allein die eigentliche Produktionsanlage.
Besonders kritisch sind stark vernetzte Systeme und externe Zugänge. Dazu gehören unter anderem Fernwartungsplattformen, Lieferantenzugänge, Identitätsmanagementsysteme sowie Schnittstellen zwischen klassischer IT und Operational Technology. Genau diese Übergänge werden zunehmend zu strategischen Angriffspunkten.
Angreifer brauchen nicht zwingend Zero-Days
Die bislang dokumentierten Angriffstechniken zeigen zudem, dass erfolgreiche Attacken auf industrielle Systeme keineswegs immer hochkomplex sein müssen.
Zu den häufig beobachteten Angriffspfaden gehören:
- direkt aus dem Internet erreichbare OT- und SPS-Systeme,
- Standardpasswörter oder schwache Zugangsdaten,
- kompromittierte VPN- und Fernzugänge,
- unzureichend geschützte Lieferantenkonten.
Spektakuläre Zero-Day-Schwachstellen sind dafür häufig gar nicht notwendig. Gerade deshalb sollten Betreiber ihre Sicherheitsstrategie zunächst auf vergleichsweise einfache, aber wirkungsvolle Schutzmaßnahmen konzentrieren.
Internetexponierte OT-Systeme sollten identifiziert und – wo immer möglich – vom direkten Internetzugang getrennt werden. Standardpasswörter müssen ersetzt, nicht mehr benötigte Lieferantenkonten deaktiviert und externe Zugänge konsequent durch Multi-Faktor-Authentifizierung abgesichert werden.
Ebenso wichtig ist eine klare Segmentierung zwischen IT- und OT-Netzen.
Darüber hinaus sollten Unternehmen typische Aktivitäten von Administratoren und privilegierten Nutzern erfassen. Abweichungen von diesem Normalverhalten können frühzeitig Hinweise auf kompromittierte Konten oder unerlaubte Zugriffe liefern. Wiederherstellung muss praktisch funktionieren
Technische Schutzmaßnahmen allein reichen allerdings nicht aus.
Unternehmen müssen regelmäßig testen, ob ihre Isolations-, Notfall- und Wiederherstellungsprozesse unter realistischen Bedingungen tatsächlich funktionieren. Gerade in industriellen Umgebungen entscheidet im Ernstfall nicht nur die Geschwindigkeit der Erkennung, sondern auch die Fähigkeit, einzelne Systeme oder Anlagen kontrolliert vom Netz zu nehmen und anschließend sicher wieder in Betrieb zu bringen.
Spekulationen darüber, ob bei dem Angriff auf den britischen Energieerzeuger bereits KI zum Einsatz gekommen sein könnte, helfen derzeit dagegen wenig. Dafür ist die öffentlich bekannte Faktenlage zu dünn.
Eine andere Entwicklung ist jedoch bereits heute relevant: Unternehmen setzen zunehmend KI-Agenten ein, die eigenständig auf Systeme, Anwendungen und Daten zugreifen können.
Diese Agenten bilden damit eine neue Klasse nicht-menschlicher Identitäten. Sie benötigen dieselben grundlegenden Sicherheitsmechanismen wie menschliche Nutzer, Service Accounts und andere Maschinenidentitäten – insbesondere klar definierte Berechtigungen, kontrollierte Zugriffe und kontinuierliche Überwachung.
Der Vorfall in Großbritannien zeigt damit vor allem eines: Die Gefahr für industrielle Infrastrukturen entsteht nicht erst durch hochentwickelte Cyberwaffen. Häufig reichen öffentlich erreichbare Steuerungssysteme, schwache Identitäten und schlecht abgesicherte Fernzugänge aus, um kritische Infrastruktur angreifbar zu machen.
