Cyberangriffe zielen zunehmend auf Manipulation

Cyberangriffe auf kritische Infrastrukturen verändern ihren Charakter. Statt Datendiebstahl und Erpressung rücken zunehmend Manipulation und gezielte Betriebsstörungen in den Mittelpunkt. Für Energieversorger wird Cybersecurity damit unmittelbar zur Frage der Versorgungssicherheit.

Manipulation wird zum Angriffsziel

Mitte August berichteten britische Medien über einen Cyberangriff auf einen kleineren Energieversorger. Ein Stromausfall konnte verhindert werden – ein Beleg für die Widerstandsfähigkeit des Netzes. Dennoch zeigt der Vorfall, wohin sich die Bedrohung entwickelt.

Angreifer versuchen zunehmend, operative Prozesse zu beeinflussen, Anlagen zu manipulieren oder den Betrieb zu stören. Besonders kritisch ist dabei die enge Verzahnung von IT und Operational Technology (OT). Gelingt der Sprung von kompromittierten IT-Systemen in industrielle Netze, können Cyberangriffe direkte physische Auswirkungen haben.

Resilienz wird zum entscheidenden Faktor

Ein Angriff muss keinen großflächigen Blackout verursachen. Bereits veränderte Steuerungsparameter, abgeschaltete Komponenten oder gestörte Abläufe können erhebliche Schäden auslösen. Hinzu kommt, dass Manipulationen teilweise schwerer zu erkennen sind als klassische Schadsoftware.

Vor dieser Entwicklung warnen Sicherheitsexperten seit Jahrzehnten. Neu ist vor allem die Geschwindigkeit, mit der Digitalisierung, Fernwartung und zunehmende Vernetzung die Angriffsfläche vergrößern.

Für Betreiber kritischer Infrastrukturen reicht Prävention deshalb nicht mehr aus. Entscheidend ist, Angriffe frühzeitig zu erkennen, betroffene Bereiche zu isolieren und den Betrieb möglichst aufrechtzuerhalten. Die Grenze zwischen Cyberangriff und physischer Sabotage wird zunehmend unscharf.

Hersteller-Kommentare zum Cyberangriff

Dan Bird, EMEA Field CTO bei Horizon3.ai erklärt: „Dieser Angriff sollte als Warnung verstanden werden – Großbritannien ist ein Ziel für die offensive Cyberkriegsführung des Iran. Auch wenn dieser Vorfall offenbar einen kleinen Stromerzeuger und nicht das gesamte Stromnetz betroffen hat, ist die Botschaft klar: Kritische Infrastruktur und die sie versorgenden Lieferketten sind nun Freiwild. Cyberangriffe wie dieser bieten Angreifern die Möglichkeit, strategische Auswirkungen unterhalb der Schwelle eines kriegerischen Akts zu erzielen, und eine nachweisbare Zuordnung zu einem bestimmten Akteur oder Staat gestaltet sich schwierig. Ein gut getimter Angriff auf beispielsweise einen Energieversorger, Hersteller oder Logistikdienstleister kann die Lieferketten stören, die die Wirtschaft am Laufen halten – und das bei geringen Kosten und für die Aggressoren. Der nächste Angriff beschränkt sich möglicherweise nicht auf einen einzelnen Standort. Er könnte mehrere kleinere Betreiber gleichzeitig treffen oder einen bedeutenderen Teil des Energiesystems. Deshalb dürfen Organisationen in kritischen Lieferketten nicht davon ausgehen, dass sie zu klein oder zu unbedeutend sind, um ins Visier zu geraten. Die oberste Priorität bei der Verteidigung lautet: Finde die ausnutzbaren Lücken, bevor es ein Angreifer tut. Schwachstellen wird es immer geben, aber Organisationen müssen kontinuierlich prüfen, ob diese Schwächen echte Angriffspfade darstellen, und sie dann schließen, bevor sie den Betrieb, die Versorgung oder die nationale Widerstandsfähigkeit gefährden können.“

Gil Messing, Chief of Staff bei Check Point Software erläutert: "Die Einzelheiten des Angriffs sind noch nicht vollständig geklärt, er selbst und vor allem der Zusammenhang mit den Angriffen auf die Wasserversorgung in den USA bestätigen einen Trend. In unseren Messdaten von Sensoren sehen wir, dass der Energiesektor zusammen mit der Fertigungsbranche zu den am häufigsten angegriffenen Sektoren weltweit gehört. Die Zahl der Angriffe auf deren IT-Infrastrukturen ist im Vergleich zum Vorjahr um 20 Prozent gestiegen. Der Grund dafür ist, dass diese Infrastrukturen sehr vielfältig, dezentral sind und der Zugriff auf ein kritisches System wie dieses tatsächlich recht einfach sein kann, wenn es um einen der kleinen und weniger gut gesicherten Bestandteile geht. Wie bei dem nun bekannt gewordenen Vorfall, sind diese Systeme zwar Bestandteil eines wichtigen Energienetzes, aber für sich genommen sind sie sehr klein, lokal und verfügen manchmal nicht über die beste ‚Cyberhygiene‘, wie sie Netze oder kritische Infrastrukturen aufweisen.

Was die Angreifer dahinter betrifft, so haben sie zwei Dinge gezeigt, die hier relevant sind. Erstens: Sie versuchen, im Rahmen des allgemeinen Konflikts im Nahen Osten, beteiligte Länder mit Cyberangriffen auf deren kritische Infrastruktur zu lähmen, auch wenn sie außerhalb der physischen Reichweite liegen. Das betraf bisher unter anderem die USA, Länder in Europa oder Großbritannien. Ihr Ziel und ihre Motivation sind also klar. Zweitens: Die Gruppierung ist bekannt für Angriffe auf OT-Systeme. Sie sind dafür bekannt, Teile nationaler Stromnetze anzugreifen, sei es Wasserversorgungssysteme oder andere Arten von Infrastruktur wie die Stromversorgung. Sie versuchen, in Steuerungen und Systeme einzudringen und diese zu kompromittieren – als Beweis für ihre Fähigkeiten und als Drohung, dass sie noch viel mehr anrichten können, sollte die Situation eskalieren.

Diese beiden Aspekte überschneiden sich stark mit diesem Vorfall, und man sollte bedenken, dass das, was wir gehört und gelesen haben, möglicherweise nur der Anfang von etwas viel Größerem ist, wenn es um Cyberangriffe auf nationale Stromnetze geht. Angreifer werden stets nach dem schwächsten Glied in der Kette suchen, das es ihnen ermöglicht, sehr großen Schaden anzurichten, sei es hinsichtlich des Ausmaßes oder der Publicity, die dadurch entsteht. Dabei suchen sie sich einfache Ziele und verwenden aus Expertensicht relativ einfache Angriffsmethoden, die nicht besonders ausgefeilt sind.

Ein weiterer Punkt, der zumindest beim Vorfall in Großbritannien hervorgehoben werden muss, ist, dass die Anlage nicht unbedingt deshalb einige Tage lang ausgefallen war, weil der Cyberangriff so verheerend war, sondern auch, weil das örtliche Kraftwerk möglicherweise beschlossen hatte, den Betrieb herunterzufahren, um sich in Ruhe mit dem unbefugten Zugriff der Hacker zu befassen."

Neena Sharma, Director of Customer and Product Marketing bei Filigran  fügt hinzu: „Das Vorgehen des Iran gegen kritische Infrastrukturen war in der Vergangenheit eher durch symbolische, abstreitbare Störungen mit geringen Folgen gekennzeichnet als durch eskalierende Angriffe, die eine militärische Reaktion riskieren. Dieser viertägige Ausfall eines kleinen Stromgenerators passt genau in dieses Muster: Er reicht aus, um die Fähigkeiten zu demonstrieren und Entschlossenheit zu signalisieren, ist aber nicht groß genug, um eine nennenswerte Reaktion auszulösen. Wenn überhaupt, könnte die Wahl des Ziels selbst die Botschaft sein. Das Risiko für kritische Infrastrukturen konzentriert sich nicht mehr auf die „Kronjuwelen“ unter den Umspannwerken, sondern verteilt sich auf Hunderte kleinerer, weniger überwachter Anlagen, deren Zahl mit der Energiewende zunimmt.“

Damian Skeeles, Senior Solutions Architect bei Filigran verweist auf die Warnhinweise der Behörden: „Erst letzte Woche veröffentlichte die CISA die neueste Sicherheitswarnung AA26-231A zu Angreifern, die mithilfe von KI-generierten Skripten industrielle Steuerungssysteme angreifen, wie sie in solchen Kraftwerken zum Einsatz kommen. Unabhängig davon, ob diese PLCs bei diesem jüngsten Angriff eine Rolle spielten und ob der Iran in diesem Fall als Verantwortlicher bestätigt wird oder nicht, ist es sehr wahrscheinlich, dass solche Vorfälle in den kommenden Wochen und Monaten häufiger auftreten werden.“