Unsichtbare OT-Systeme, offene Zugänge: Wie leicht Cyberkriminelle kritische Infrastrukturen angreifen können

Angriffe auf vernetzte Kühlsysteme zeigen, wie verwundbar kritische Infrastrukturen tatsächlich sind. Veraltete Steuerungen, fehlende Transparenz und unzureichend geschützte OT-Systeme öffnen Cyberkriminellen Tür und Tor. Die jüngsten Vorfälle machen deutlich, dass Unternehmen ihre Betriebstechnik endlich genauso konsequent absichern müssen wie ihre klassische IT.

Robert Sindlinger, Area VP EMEA Central bei Tanium , erklärt in seinem Gastbeitrag, warum die traditionelle Trennung zwischen IT und OT zum Sicherheitsrisiko wird und weshalb Transparenz über sämtliche vernetzten Systeme heute unverzichtbar ist.

Der Wecker klingelt schon seit geraumer Zeit. In den vergangenen Tagen allerdings noch einmal deutlich lauter. Die entscheidende Frage lautet deshalb: Sind wir inzwischen wirklich aufgewacht?

In der nahezu ununterbrochenen Flut von Meldungen über Cyberangriffe und Sicherheitsvorfälle haben die jüngsten Attacken auf Kühlsysteme besondere Aufmerksamkeit erregt. Inzwischen warnen sogar US-Behörden vor möglichen weltweiten Angriffen auf industrielle Kühlanlagen und Kühlkettenüberwachungssysteme. Sie gehen davon aus, dass entsprechende Systeme auch außerhalb Europas ins Visier geraten könnten, und empfehlen konkrete Schutzmaßnahmen.

Wenn Cyberangriffe den Alltag der Menschen erreichen

Über den genauen Ablauf und die unmittelbaren Folgen der Angriffe wurde bereits ausführlich diskutiert. Doch was unterscheidet diese Vorfälle von anderen Cyberattacken? Zum einen sind ihre Auswirkungen unmittelbar nachvollziehbar. Anders als bei vielen Sicherheitsvorfällen, deren Konsequenzen zunächst auf Unternehmensnetzwerke oder interne Geschäftsprozesse beschränkt bleiben, betreffen manipulierte Kühlsysteme potenziell jeden Verbraucher. Plötzlich wird eine abstrakte Cyberbedrohung zu einem konkreten Risiko für die Lebensmittelversorgung und damit für den Alltag der Menschen.

Zum anderen verdeutlichen die Angriffe, wie verletzlich kritische Infrastrukturen und essenzielle Versorgungssysteme inzwischen geworden sind.

Kühlsysteme erfüllen schließlich weit mehr als eine rein technische Funktion. Sie schützen Lebensmittel vor dem Verderben, sichern die Lagerung temperaturempfindlicher Medikamente und gewährleisten die Kühlung lebenswichtiger Blutkonserven. Wie ernst die Bedrohung ist, zeigte auch ein großangelegter Angriff auf mehrere Blutbanken in Frankreich.

Glücklicherweise wurden bei diesen Vorfällen keine Blutkonserven vernichtet. Dennoch geben die Ereignisse erheblichen Anlass zur Sorge.

Die größte Schwachstelle ist nicht die Technik, sondern ihre fehlende Absicherung

Besonders beunruhigend ist dabei weniger die technische Raffinesse der Angriffe als vielmehr ihre vergleichsweise einfache Durchführung.

Die Angreifer benötigten offenbar weder hochentwickelte Angriffswerkzeuge noch bislang unbekannte Sicherheitslücken. Stattdessen stießen sie auf Steuerungssysteme, die offen über das Internet erreichbar waren und teilweise seit Jahren keine Sicherheitsupdates erhalten hatten.

Das eigentliche Problem reicht damit weit über einzelne Hersteller oder betroffene Unternehmen hinaus. Es handelt sich um eine strukturelle Schwachstelle im Umgang mit vernetzter Betriebstechnik.

Kühlanlagen, Gebäudesteuerungen und andere Systeme der Operational Technology (OT) sind häufig über Jahrzehnte im Einsatz. Sie werden von externen Dienstleistern installiert, konfiguriert und gewartet. Gleichzeitig fehlen sie nicht selten in den zentralen IT-Inventaren der Unternehmen.

Für die zuständigen IT-Sicherheitsteams bleiben diese Systeme damit weitgehend unsichtbar. Und Geräte, von deren Existenz niemand weiß, lassen sich weder angemessen überwachen noch zuverlässig schützen.

Ohne Transparenz über IT und OT bleibt Cybersicherheit Stückwerk

Genau an diesem Punkt muss eine wirksame Sicherheitsstrategie ansetzen. Denn eine grundlegende Regel der Cybersicherheit gilt auch für industrielle Steuerungssysteme: Was man nicht sieht, kann man nicht schützen.

Unternehmen sollten deshalb drei zentrale Fragen jederzeit beantworten können:

1. Welche vernetzten Steuerungssysteme befinden sich im Unternehmen? Dazu gehören ausdrücklich auch Anlagen und Komponenten, die externe Dienstleister installiert haben oder betreuen.
2. Welche dieser Systeme sind direkt oder indirekt über das Internet erreichbar? Gerade unkontrollierte externe Zugänge können erhebliche Sicherheitsrisiken verursachen.
3. Welche Geräte arbeiten mit veralteter Firmware oder unsicheren Standardzugangsdaten? Fehlende Updates und schwache Authentifizierungsmechanismen erleichtern Angreifern den Zugriff erheblich.

Neben einer vollständigen Bestandsaufnahme ist eine konsequente Netzwerksegmentierung entscheidend. Betriebstechnik sollte vom übrigen Unternehmensnetz getrennt werden, um Angriffswege zu begrenzen und eine Ausbreitung innerhalb der Infrastruktur zu erschweren.

Ebenso wichtig ist eine unabhängige Überwachung kritischer Anlagen. Dass der französische Blutspendedienst auf die Angriffe schnell reagieren konnte, lag auch daran, dass ein eigenes Überwachungssystem vorhanden war, das unabhängig von den Systemen des externen Dienstleisters arbeitete.

IT- und OT-Sicherheit müssen endlich zusammenwachsen

Die traditionelle Trennung zwischen Informationstechnologie und Betriebstechnik entspricht längst nicht mehr der Realität vernetzter Unternehmen. Dennoch wird diese Unterscheidung in vielen Sicherheitskonzepten weiterhin aufrechterhalten.

Dabei entstehen gerade an den Schnittstellen zwischen IT und OT gefährliche Sicherheitslücken. Vernetzte Steuerungen, externe Wartungszugänge und unzureichend dokumentierte Systeme schaffen zusätzliche Angriffsflächen, die sich mit isolierten Sicherheitsmaßnahmen kaum beherrschen lassen.

Unternehmen benötigen deshalb eine gemeinsame, möglichst aktuelle Sicht auf ihre gesamte IT- und OT-Landschaft. Nur wer sämtliche vernetzten Geräte kennt, ihren Sicherheitszustand beurteilen und kritische Veränderungen frühzeitig erkennen kann, ist in der Lage, Schwachstellen zu schließen, bevor Cyberkriminelle sie ausnutzen.

Die jüngsten Angriffe auf Kühlsysteme sollten deshalb nicht als isolierte Sicherheitsvorfälle betrachtet werden. Sie sind ein weiterer deutlicher Hinweis darauf, dass grundlegende Versäumnisse bei der Absicherung kritischer Betriebstechnik erhebliche Auswirkungen auf Unternehmen und Gesellschaft haben können.

Der Wecker hat laut genug geklingelt. Jetzt kommt es darauf an, nicht erneut auf die Schlummertaste zu drücken.