Wenn Code tötet: Der Anstieg kinetischer Cyberangriffe

Haben Sie die neueste Netflix-Serie „Zero Day“ mit Robert De Niro gesehen? (Ich bin erst bei der vierten Folge, also bitte keine Spoiler.) 

Falls Sie es noch nicht wissen: Die Handlung dreht sich um einen massiven Cyberangriff, der praktisch jedes Computersystem in den USA betrifft. Alles wird für eine Minute ausgeschaltet, dann wird alles wiederhergestellt. Aber das Ergebnis ist verheerend: Tausende sterben, da Flugzeuge und Züge abstürzen, Industrieanlagen explodieren und so weiter. 

Die tatsächliche Zerstörung und der Verlust von Menschenleben ordnen diesen imaginären Angriff in die Kategorie der kinetischen Cyberangriffe ein. Während die spezifische Natur des fiktiven Angriffs – das gleichzeitige Umgehen sämtlicher Security-Strategien und die Beeinträchtigung aller Arten von Betriebssystemen, von Mobiltelefonen bis zu industriellen Kontrollsystemen – diesen äußerst unwahrscheinlich macht, ist es eine Tatsache, dass kinetische Cyberangriffe auf dem Vormarsch sind. 

Und obwohl seit dem ersten kinetischen Cyberangriff fünfzehn Jahre vergangen sind, warnen Experten, dass kritische Industrie- und Infrastruktursysteme nach wie vor unzureichend gegen solche Angriffe geschützt sind.

Kinetische Angriffe in der realen Welt

Stuxnet

Im Jahr 2010 trat der erste bekannte Fall eines kinetischen Cyberangriffs auf, als Security-Experten eine Malware namens Stuxnet identifizierten. Es herrscht allgemeine Übereinstimmung darüber, dass die Malware von israelischen und US-amerikanischen Regierungstruppen entwickelt wurde. Es wurde gegen Elemente des iranischen Atomwaffenentwicklungsprogramms eingesetzt und nutzte mehrere bislang unbekannte Windows-Schwachstellen aus.

Stuxnet wurde speziell entwickelt, um die Zentrifugen zu zerstören, die der Iran zur Anreicherung von Uran verwendete. Durch die Änderung der Programmierung bestimmter Typen von speicherprogrammierbaren Steuerungen (SPS) wurden die Zentrifugen dazu gebracht, sich unregelmäßig zu drehen, was letztendlich zu ihrer Selbstzerstörung führte. Schätzungen zufolge hat der Angriff das iranische Waffenprogramm um mindestens zwei Jahre zurückgeworfen.

Vielleicht am wichtigsten ist, dass die Entdeckung von Stuxnet der Welt signalisierte, dass kritische Infrastrukturen allein durch bösartigen Code beschädigt oder zerstört werden können.

Colonial Pipeline

Im Jahr 2021 wurde Colonial Pipeline von einem Ransomware-Angriff getroffen, der das Unternehmen dazu zwang, den Betrieb seiner Öl- und Gaspipeline einzustellen. Die industriellen Steuerungssysteme (ICS), die die Pipelines verwalteten, waren nicht von den Datensystemen des Unternehmens getrennt, was die Möglichkeit eines katastrophalen Ausfalls eröffnete, falls die Ransomware von einem System auf das andere übergreifen sollte.

Letztendlich kam es zu keiner Beschädigung oder Zerstörung der physischen Systeme, jedoch hatte die Abschaltung starke und unmittelbare Auswirkungen auf die Energiepreise und die Verfügbarkeit und wird als strategisches Risiko für die USA angesehen.

Cyberangriff auf Wasseraufbereitungsanlage in Florida

Auch im Jahr 2021 konnte ein Cyberkrimineller mithilfe einer seit langem inaktiven, passwortgeschützten Software für den Fernzugriff auf die Wasseraufbereitungsanlage von Oldsmar, Florida, zugreifen. Der Angreifer passte die Steuerung an, um dem Wasser die 100-fache normale Menge an Natriumhydroxid, auch als Lauge bekannt, zuzusetzen.

Glücklicherweise bemerkte ein Operator, der online war, den laufenden Angriff und setzte die Steuerung zurück, bevor Schaden angerichtet werden konnte. Es ist erschreckend, sich vorzustellen, was passiert wäre, wenn der Angriff nachts stattgefunden hätte, als möglicherweise keine legitimen Betreiber online waren.

Absicherung anfälliger Systeme

In den letzten Jahren gibt es viele weitere Beispiele für kinetische Cyberangriffe. Und es gibt keinen Grund zu erwarten, dass sie nicht weiterhin zunehmen werden. 

Cyber-physische Systeme (CPS) – computergestützte Systeme, die sowohl mit dem Internet als auch mit physischen und mechanischen Systemen verbunden sind – sind überall um uns herum. Von industriellen Steuerungssystemen (ICS) und kritischen Infrastrukturen bis hin zu alltäglichen IoT-Geräten – denken Sie an Kühlschränke und Herzschrittmacher – profitieren wir enorm von dieser Technologie.

Doch während Regierung und Industrie zunehmend die Notwendigkeit robuster Sicherheitsmaßnahmen zum Schutz herkömmlicher Daten und Netzwerke erkannt haben, sind viele der am stärksten gefährdeten CPS-Systeme – darunter kritische Infrastrukturen, die im Falle eines Angriffs massive Schäden und sogar Todesfälle verursachen könnten – nach wie vor unzureichend geschützt. 

Was sollten die Administratoren dieser Systeme tun, um sie besser vor Angriffen zu schützen?

1. Einer der ersten und wichtigsten Schritte besteht darin, eine robuste Segmentierung der CPS-Systeme zu implementieren, um zu verhindern, dass Angreifer Datennetzwerke nutzen, um in diese Systeme einzudringen und sie zu kompromittieren. Wenn möglich, sollten sie durch Air-gap gesichert werden, d. h. vollständig physisch vom Internet und von anderen Netzwerken und Systemen getrennt sein.

2. Ein weiterer wichtiger Schritt besteht darin, sehr strenge Zugangskontrollen zu implementieren, wie z.B. Zero-Trust-Systeme, die das Prinzip der geringsten Privilegien anwenden, um sicherzustellen, dass nur diejenigen, die unbedingt auf die CPS-Systeme zugreifen müssen, die entsprechende Berechtigung haben. 

3. Zudem sollten sie in fortschrittliche Sicherheitssysteme – einschließlich Netzwerk- und Anwendungs-Firewalls – mindestens in demselben Umfang investieren, wie sie in Sicherheitslösungen für ihre traditionellen, datenzentrierten Netzwerke und Systeme investieren.

4. Wichtig ist die Durchführung häufiger Security-Audits um sicherzustellen, dass alle Software auf dem neuesten Stand ist und alle bekannten Schwachstellen umgehend behoben werden. Außerdem ist sicherzustellen, dass alle temporären Zugangswege, die Auftragnehmern oder externen Technikern gewährt wurden, aufgehoben werden, sobald sie nicht mehr erforderlich sind.

Beim Thema Cybersecurity stand schon immer viel auf dem Spiel. Aber mit der zunehmenden Häufigkeit und Schwere von kinetischen Cyberangriffen steigen diese Risiken ins Unermessliche.