Warum Air-Gap-Netzwerke nicht so sicher sind, wie Sie denken

Was Unternehmen beim Isolieren von Netzwerken übersehen – und wie man echte Resilienz aufbaut

Die wichtigsten Erkenntnisse

• Air-Gap-Netzwerke reduzieren die Exposition, sind jedoch nicht immun gegen Cyberangriffe.
• Wenn Air Gaps als perfekte Security behandelt werden, kann dies zu Blindflecken und riskanten Abkürzungen führen.
• Die Forschung hat exotische Methoden zum Ausspionieren von Air-Gap-Systemen aufgezeigt, aber Angreifer nutzen diese in der Praxis selten.
• Wirkliche Sicherheitsverletzungen beruhen in der Regel auf Wechselmedien, einer Kompromittierung der Lieferkette und vertrauenswürdigen Nutzern.
• Grundlegende Kontrollen und Bewusstsein tragen wesentlich zum Schutz isolierter Systeme bei.

Air-Gap-Netzwerke gelten seit langem als die sicherste Methode zum Schutz sensibler Systeme. Keine Internetverbindung, kein Fernzugriff, kein Problem. So lautet zumindest die gängige Denkweise.

In der Realität erweist sich dieses Vertrauen oft als unangebracht. Air-Gapping reduziert zwar das Risiko, aber es beseitigt es nicht. Und in industriellen und betrieblichen Umgebungen, wo Systeme immer noch gewartet, aktualisiert und von echten Menschen genutzt werden müssen, ist diese Lücke selten so luftdicht, wie sie auf dem Papier aussieht.

Was Air-Gap-Netzwerke sind und warum Unternehmen sie nutzen

Es handelt sich dabei um ein Netzwerk, das physisch oder logisch von anderen Netzwerken isoliert ist, insbesondere vom öffentlichen Internet. Es besteht keine Verbindung per Ethernet-Kabel, es ist keine WLAN-Verbindung aktiviert, und es gibt keinen offensichtlichen Weg für den Ein- oder Ausgang von Daten.

Air-Gap-Systeme findet man typischerweise dort, wo Fehler teuer oder gefährlich sind, zum Beispiel:

• Fertigungs- und industrielle Steuerungsumgebungen
• Kritische Infrastrukturen wie Strom-, Wasser- und Verkehrssysteme
• Verteidigungs-, Regierungs- und Forschungseinrichtungen
• Systeme zum Schutz wertvollen geistigen Eigentums

Die Logik lautet: Wenn Angreifer ein System nicht aus der Ferne erreichen können, können sie es nicht angreifen. Aber natürlich wissen wir aus unzähligen erfolgreichen Angriffen, dass Angreifer, wenn sie physischen Zugriff auf ein System erlangen können, keinen Fernzugriff benötigen, um einen Angriff auszuführen.

Die zentrale Schwachstelle von Air Gaps

Selbst die am stärksten isolierten Systeme benötigen weiterhin Betreuung und Wartung. Software muss aktualisiert werden. Protokolle müssen überprüft werden. Konfigurationen ändern sich. Händler liefern neue Werkzeuge. Ingenieure tragen Dateien. Operatoren leiten Berichte weiter.

Mit der Zeit kann die Isolation einen zu großen Teil der Sicherheitsarbeit übernehmen. Die Kontrollen für den physischen Zugang werden gelockert. Die Richtlinien für Wechselmedien werden „nur dieses eine Mal“ umgangen. Vertrauenswürdige Nutzer werden nicht mehr als Teil des Bedrohungsmodells behandelt.

Leider verstehen Angreifer diese Dynamik sehr gut.

Eine Abschweifung: Exotische Techniken für den Fernzugriff auf Air-Gap-Systeme

Sicherheitsforscher haben einige wirklich kreative Methoden demonstriert, um Informationen von Air-Gap-Systemen zu beobachten oder zu veröffentlichen. Dazu gehören Techniken auf folgender Grundlage:

• Elektromagnetische oder Radiofrequenzemissionen
• Akustische Signale wie subtile Veränderungen im Lüftergeräusch
• Thermische Muster durch Wärmeschwankungen
• Visuelle Hinweise wie Blinkleuchten oder Bildschirmaktivität

Diese Methoden sorgen für faszinierende Demos und aufsehenerregende Schlagzeilen. Und sie sind nützliche Erinnerungen daran, dass physische Isolation nicht dasselbe ist wie Unsichtbarkeit.

Sie tauchen aber nicht in realen Einsatzberichten auf. Sie sind fragil, komplex und außerhalb streng kontrollierter Bedingungen schwer zu verwenden. Genau wie in der allgemeinen Cyberbedrohungsumgebung bevorzugen Angreifer im Allgemeinen einfachere, zuverlässigere Optionen.

Wie Air-Gap-Netzwerke tatsächlich durchbrochen werden

In der realen Welt werden Air-Gap-Netzwerke auf die gleiche Weise angegriffen wie viele andere Systeme: durch Personen, Prozesse und Dinge, denen wir bereits vertrauen.

Stuxnet hat uns im Jahr 2010 wachgerüttelt. Die Malware nutzte keine fortgeschrittenen physikalischen Prinzipien, um eine Air Gap zu überwinden. Die Infektion wurde von autorisierten Nutzern, die routinemäßige Arbeiten durchführten, auf infizierten USB-Sticks eingeschleppt. Für den Angriff war keine Internetverbindung erforderlich.

Diese Lektion blieb hängen. Moderne Kampagnen, die auf „Air Gapped“-Umgebungen abzielen, folgen oft einem bekannten Muster:

• Zuerst kompromittieren sie ein verbundenes System,
• dann werden bösartige Dateien auf Wechselmedien platziert,
• anschließend warten sie, bis diese Medien in ein isoliertes System übertragen wurden,
• um dann Daten zu sammeln oder Nutzdaten zu verteilen, bis sich der Pfad umkehrt.

Jüngste, gut dokumentierte Angriffe zeigen, wie effektiv dieser Ansatz nach wie vor funktioniert, insbesondere in operativen Technologieumgebungen, in denen Wechselmedien weiterhin eine praktische Notwendigkeit sind.

Neben USB-basierten Angriffen beinhalten Verstöße gegen Air-Gap-Systeme (abgeschirmte Systeme) in der Regel:

• Gefährdung der Lieferkette durch vertrauenswürdige Software oder Installationsprogramme
• Insider-Aktivität, ob bösartig oder fahrlässig
• Social Engineering, das jemanden dazu bringt, ein Auge zuzudrücken

Nichts davon ist exotisch. Alles ist vorhersehbar. Und genau deshalb funktioniert es.

Wie man Risiken reduziert

Air-Gapping hat nach wie vor seinen Wert. Es benötigt lediglich ein Backup.

Unternehmen können das Risiko deutlich reduzieren, indem sie die Kontrollmechanismen rund um isolierte Systeme verschärfen, darunter:

• Strenge Disziplin bei Wechseldatenträgern
  Beschränken Sie die zugelassenen Geräte, scannen Sie alles und beseitigen Sie persönliche USB-Laufwerke ganz.
• Gezielte Schulungen zur Stärkung des Risikobewusstseins
  Stellen Sie sicher, dass das Personal versteht, dass Wechselmedien und Installer nicht harmlos sind und oft Ausgangspunkt von Angriffen sind.
• Minimaler Zugang by Design
  Beschränken Sie den Zugriff auf Air-Gap-Systeme ein und machen Sie die Interaktionen sichtbar und überprüfbar.
• Kontrollierte Transfer-Workflows
  Behandeln Sie jede Datei, die das Air-Gap-System durchläuft, als unzuverlässig, bis das Gegenteil bewiesen ist.
• Überwachung und Bereitschaft
  Selbst Offline-Systeme erzeugen Signale. Überwachen Sie sie auf auffällige Aktivitäten.

Für Teams mit begrenzten Ressourcen ergeben sich die größten Verbesserungen in der Regel aus der Korrektur alltäglicher Verhaltensweisen, anstatt seltene Bedrohungen zu verfolgen.

Wie Barracuda Managed XDR die Sicherheitslücke schließen kann

Air-Gap-Umgebungen sind in den traditionellen Workflows zur Überwachung und Erkennung nicht enthalten. Die Transparenz ist begrenzt. Die Telemetrie ist spärlich. Wenn etwas schiefgeht, kann es eine Weile dauern, bis man die Zusammenhänge erkennt.

Barracuda Managed XDR verbindet fachkundige menschliche Einblicke mit KI-gestützter automatisierter Erkennung und Reaktion auf Cybervorfälle. Es wurde entwickelt, um Teams mit begrenzten Ressourcen beim Schutz komplexer Umgebungen zu unterstützen, selbst wenn Teile der Infrastruktur isoliert sind. Durch die Kombination von Überwachung durch Experten mit einheitlicher Sichtbarkeit über Endpunkte, Netzwerke und Cloud-Dienste hinweg hilft Managed XDR dabei, verdächtige Aktivitäten aufzudecken, die sonst möglicherweise unbemerkt bleiben. Dazu zählen auch Anzeichen dafür, dass Angreifer versuchen, isolierte Systeme durch Wechselmedien oder vertrauenswürdige Prozesse zu überbrücken.

Das Ziel ist nicht, Air Gaps zu eliminieren. Es soll sie mit besserem Einblick und schnellerer Reaktion unterstützen. Für Teams, die für kritische oder operative Systeme verantwortlich sind, hilft diese zusätzliche Transparenz, Isolation zu einem Teil einer umfassenderen, widerstandsfähigeren Sicherheitsstrategie zu machen, statt zu einer einzelnen Vertrauensquelle.

Air-Gaps sind nur eine Sicherheitsmaßnahme

Air-Gap-Netzwerke reduzieren das Risiko zwar, können es aber nicht vollständig eliminieren.

Angreifer verstehen bereits, wie isolierte Umgebungen wirklich funktionieren. Sicherheitsverantwortliche müssen genauso realistisch sein. Wenn die Isolation mit starken betrieblichen Kontrollen, User Awareness und mehrschichtiger Erkennung kombiniert wird, werden Air-Gap-Systeme schwierigeren Zielen. Und die Absicherung Ihrer gesamten Angriffsfläche ist ein Schlüsselelement für echte Cyberresilienz.