Cyberangriffe auf Wasserversorgungsunternehmen verdeutlichen eine bittere Wahrheit

Grundlegende Mängel bei der Zugriffskontrolle gefährden kritische Infrastruktur

Bundesbehörden untersuchen derzeit Cybervorfälle bei US-amerikanischen Wasserversorgungsunternehmen. Nach Einschätzung von Sicherheitsexperten liegt die wichtigste Lehre für IT-Verantwortliche jedoch weniger in der Frage, wer die Angriffe verübt hat, sondern darin, wie leicht kritische Systeme weiterhin durch vermeidbare Schwächen bei der Zugriffskontrolle gefährdet werden können.

Die jüngsten Cyberangriffe auf US-amerikanische Wasser- und Abwasserunternehmen haben die Debatte über die Sicherheit von Betriebstechnik (OT) erneut verschärft. Sicherheitsexperten raten IT-Führungskräften allerdings, den Blick nicht allein auf die geopolitische Dimension der Vorfälle zu richten, sondern vor allem auf die Bedingungen, die diese Angriffe ermöglicht haben.

Das FBI teilte kürzlich mit, dass böswillige Cyberakteure auf mit dem Internet verbundene speicherprogrammierbare Steuerungen (SPS) in mehreren Wasser- und Abwasseranlagen abzielten. Die Angriffe führten zu Betriebsstörungen.

In einigen Fällen verloren die betroffenen Versorgungsunternehmen den Überblick über den Anlagenbetrieb. Zudem kam es zu Störungen, die den regulären Betrieb beeinträchtigten.

Ein großer Teil der Berichterstattung konzentrierte sich auf die Urheberschaft der Angriffe. Dabei wurde vielfach spekuliert, es könne sich um einen staatlich gelenkten Angriff mit Verbindungen zum Iran handeln. Tim Tipton Jr., Experte für Betriebstechnik und industrielle Cybersicherheit, warnt jedoch davor, dass geopolitische Deutungen Unternehmen davon ablenken könnten, die eigentlichen Ursachen der Vorfälle zu analysieren.

„Niemand hat irgendetwas ausgenutzt. Sie haben lediglich Passwörter geändert“, sagte Tipton in einem Videointerview mit MES Computing.

Tipton stellt damit auch die verbreitete Annahme infrage, wie Unternehmen Cyberrisiken bewerten und weshalb einige Einrichtungen der kritischen Infrastruktur trotz erheblicher Investitionen in Cybersicherheit weiterhin angreifbar bleiben.

Waren diese Vorfälle das Ergebnis ausgefeilter staatlicher Aktivitäten, oder weisen sie auf ein grundlegenderes Sicherheitsproblem hin?

Sicherheitsexperten weisen auf Risiken beim Fernzugriff hin

Die Vorfälle fallen in eine Phase, in der das National Institute of Standards and Technology (NIST) Leitlinien veröffentlicht hat, die Wasserversorgungsunternehmen bei der Absicherung des Fernzugriffs unterstützen sollen.

Das NIST empfiehlt, den Fernzugriff einzuschränken, eine Multi-Faktor-Authentifizierung durchzusetzen und detaillierte Zugriffsprotokolle zu führen.

Mike Carr, Field CTO bei Xona Systems, erklärte, dass Fernverbindungen nach wie vor eine der größten Herausforderungen im Bereich der Cybersicherheit für die Branche darstellen.

„Das NIST hat zu Recht den Fernzugriff als die größte Schwachstelle der Wasserversorgungsbranche in Sachen Cybersicherheit bezeichnet. Genau das beobachten wir tagtäglich in der Praxis“, so Carr.

Carr argumentiert, dass viele empfohlene Sicherheitsarchitekturen nach wie vor auf Softwarekontrollen beruhen, die sich in denselben Netzwerken befinden, die Angreifer zu kompromittieren versuchen.

„Anstatt zu versuchen, den Fernzugriff sicherer zu machen, sollten Unternehmen nach Wegen suchen, die Angriffsfläche für Fernzugriffe gänzlich zu beseitigen“, sagte er.

Budgetbeschränkungen erschweren Sicherheitsverbesserungen

Für mittelgroße Versorgungsunternehmen reichen die Herausforderungen über technische Fragen hinaus. Veraltete Infrastruktur und begrenzte Budgets erschweren die Entwicklung langfristiger Modernisierungspläne.

Sicherheitsexperten empfehlen diesen Unternehmen daher, sich zunächst auf kosteneffiziente Maßnahmen zur Risikominderung zu konzentrieren: die vollständige Erfassung aller mit dem Internet verbundenen Systeme, die Überprüfung von Richtlinien für den Fernzugriff und die Priorisierung besonders kritischer Anlagen.

Auch wenn sich die Vorfälle im Wassersektor ereignet haben, lassen sich die daraus gewonnenen Erkenntnisse auf andere Branchen übertragen.

Deutschland: Vergleichbare Risiken, aber bislang kein gleich gelagerter öffentlicher Fall

Für Deutschland sind bislang keine öffentlich bestätigten Vorfälle bekannt, die mit den jüngsten Angriffen auf US-amerikanische Wasserversorger unmittelbar vergleichbar wären. Das bedeutet jedoch nicht, dass das Risiko geringer wäre. Auch hierzulande zählt die Wasserversorgung zur kritischen Infrastruktur, viele Anlagen sind hochgradig digitalisiert und werden über vernetzte Steuerungs- und Leitsysteme betrieben.

Die besondere Herausforderung liegt in der Struktur des Sektors. Anders als große Energie- oder Telekommunikationsanbieter ist die Wasserversorgung vielerorts kommunal geprägt und stark fragmentiert. Nach Angaben des Bayerischen Rundfunks werden in Deutschland nur rund 70 von etwa 5.550 öffentlichen Wasserversorgern als kritische Infrastruktur im engeren regulatorischen Sinn erfasst und müssen entsprechend strengere Cybersicherheitsvorgaben erfüllen.

Damit entsteht eine ähnliche Problemlage wie in den USA: Gerade kleinere Betreiber verfügen häufig nicht über große IT-Sicherheitsabteilungen, spezialisierte OT-Security-Teams oder umfangreiche Budgets für die Modernisierung älterer Anlagen. Der Fall zeigt deshalb weniger, dass Deutschland bereits von denselben Vorfällen betroffen wäre, sondern vielmehr, dass auch deutsche Wasserversorger ihre Fernzugriffe, Internetexponierung und Zugriffskontrollen systematisch überprüfen sollten.

Fazit

Die Vorfälle zeigen, dass Schwachstellen bei Fernzugriffen, Zugriffskontrollen und der Sichtbarkeit vernetzter Systeme nicht auf den Wassersektor beschränkt sind. Von der Fertigungsindustrie bis zum Bildungswesen sollten Unternehmen ihre eigenen Umgebungen deshalb systematisch auf potenzielle Angriffsflächen prüfen, bevor Angreifer dies tun.

--

Dieser Artikel basiert auf einem Beitrag unserer Schwester-Website MES Computing.