Die Einschläge kommen näher: Cyberangriffe auf kleinere KRITIS-Betreiber

Angriffe auf ein britisches Kraftwerk, US-Wasserversorger und ein polnisches Heizkraftwerk zeigen, wie verwundbar kleinere OT-Umgebungen in kritischen Infrastrukturen sein können.

Die Meldung klingt zunächst unspektakulär: Ein kleines britisches Kraftwerk musste nach einem mutmaßlichen Cyberangriff vier Tage lang den Betrieb einstellen. Die Stromversorgung im Land war nicht gefährdet und die Regierung betonte die Resilienz des Energiesystems. Und dennoch ist der Vorfall sicherheitspolitisch relevant.

Denn der Angriff steht nicht isoliert da. Kurz zuvor wurden in den USA Wasserversorgungssysteme in mehreren Bundesstaaten angegriffen. In Polen ist ein Angreifer über ein privates Mobilfunknetz in die Steuerung eines Heizkraftwerks eingedrungen und hat eine Dampfturbine sowie die Prozesswasseraufbereitung abgeschaltet. Dahinter steht ein Muster: Angreifer testen Reichweite, Zugangswege und Reaktionsfähigkeit an kleineren, technisch weniger geschützten Anlagen.

Die britische Regierung bestätigte, dass im Juli ein Kraftwerk nach einem mutmaßlichen Cyberangriff vier Tage lang außer Betrieb genommen werden musste. Weder die Regierung noch das National Cyber Security Centre (NCSC) nannten die betroffene Anlage. Das Ministerium für Energiesicherheit und Netto-Null (DESNZ) erklärte lediglich, es habe sich um eine kleine Anlage gehandelt; die Stromerzeugungskapazität insgesamt sei nicht beeinträchtigt worden. Ein Sprecher betonte: „Großbritannien verfügt über ein äußerst widerstandsfähiges Energiesystem. Wir arbeiten eng mit dem Energiesektor zusammen, um die Infrastruktur zu schützen und höchste Sicherheitsstandards zu gewährleisten.“

Das DESNZ teilte zudem mit, es habe Energieversorger und Energieunternehmen schriftlich mit Empfehlungen kontaktiert. Parallel arbeite die britische Regierung an aktualisierten Cybersicherheitsvorschriften und an einer umfassenderen Strategie zur Energieversorgungssicherheit. Eine zentrale Frage lautet, ob auch kleinere Energieversorger künftig zu vergleichbaren Sicherheitsstandards verpflichtet werden wie größere Betreiber.

Der Vorfall ereignete sich vor dem Hintergrund einer angespannten geopolitischen Lage. Das NCSC hatte bereits im März vor einem erhöhten Risiko durch mit dem Iran verbundene Cyberakteure gewarnt. Die Warnung bezog sich insbesondere auf Organisationen mit Vermögenswerten, Betriebsstätten oder Lieferketten in betroffenen Regionen.

Damit verschiebt sich der Blick auf den eigentlichen Kern des Falls: Es geht nicht allein um die technische Störung eines einzelnen Kraftwerks, sondern um die Frage, wie politische Konflikte in verwundbare Betriebsumgebungen hineinwirken. Energie- und Wasserversorgung sind dabei besonders attraktive Ziele, weil sie gesellschaftlich sichtbar, technisch komplex und häufig auf gewachsene OT-Landschaften angewiesen sind.

US-Wasserversorger: koordinierte Angriffe auf kleine Betreiber

Etwa zur gleichen Zeit wurden in den USA Wasserversorgungssysteme in mehreren Bundesstaaten von Cyberangriffen heimgesucht, die ebenfalls mit iranisch verbundenen Akteuren in Verbindung gebracht werden. Berichtet wurde über Angriffe auf Wasser- und Abwassersysteme unter anderem in Minnesota, Michigan, Georgia, New Jersey und South Dakota. In Minnesota waren mehr als 30 kommunale Wassersysteme betroffen. Spätere Berichte sprachen von Vorfällen in mindestens zwölf Bundesstaaten. Betreiber mussten teils automatisierte Systeme vom Netz nehmen, auf manuelle Steuerung umschalten oder einzelne Funktionen nur eingeschränkt überwachen. In Georgia führte ein Vorfall bei der Clayton County Water Authority zeitweise zu einem Druckabfall und zu einer Abkochverfügung.

Schlecht gesicherte und exponierte Schnittstellen im Visier

Die Angriffe zielten offenbar auf aus dem Internet erreichbare oder schwach geschützte Komponenten in industriellen Steuerungsumgebungen. Im Mittelpunkt standen programmierbare Logikcontroller (PLCs), Human-Machine-Interfaces und Fernzugänge, die zur Überwachung von Pumpen, Ventilen, Wasserständen und Druckverhältnissen eingesetzt werden.

Ein weiterer Vorfall zeigt, dass die Angriffswege in OT-Umgebungen zunehmend indirekt verlaufen. In Polen drangen Angreifer in ein Heizkraftwerk ein und schalteten dort eine Dampfturbine sowie die Prozesswasseraufbereitung ab. Die Anlage versorgt rund 50.000 Einwohner mit Wärme. Bemerkenswert war vor allem der Zugangsweg. Die Angreifer gelangten über ein privates Mobilfunknetz, das der lokale Netzbetreiber für den Zugriff auf entfernte Anlagen nutzte, in die Anlage. Eine Fehlkonfiguration erlaubte es Geräten innerhalb dieses privaten Netzes miteinander zu kommunizieren. Dadurch konnten die Angreifer von einem zuvor kompromittierten Windpark aus auf einen Controller im Heizkraftwerk zugreifen.

CERT Polska bezeichnete diesen Weg als den ersten bekannten realen Fall, in dem ein industrielles Steuerungsnetz über ein privates Netzwerk erreicht wurde. Die Schwachstelle war kein einzelner Softwarefehler, der sich mit einem Patch beheben ließe. Hier trafen gleich mehrere grundlegende Schwächen zusammen: ein exponierter Zugang, schwache Absicherung, fehlende Segmentierung und die Verwendung von Default-Zugangsdaten.

Auch James Neilson, Senior Vice President Global beim Sicherheitsanbieter OPSWAT, verweist auf strukturelle Schwächen im Energiesystem. Betriebstechnik, Netzwerkausrüstung und Managementsysteme seien vielerorts unzureichend geschützt. Das erleichtere Angreifern den Zugang.

In allen Fällen ist die technische Wirkung nur ein Teil der Geschichte. Wichtiger ist das Signal: Kleine und mittlere Betreiber verfügen oft nicht über die Sicherheitsbudgets, Personalreserven und regulatorischen Vorgaben, die bei großen Konzernen eher etabliert sind. Genau diese Lücke macht kleinere Anlagen zu einem idealen Testfeld für Angreifer.

Der polnische Fall ist besonders lehrreich. Er zeigt, dass „privat“ nicht automatisch „sicher“ bedeutet. Netzwerke und Netzwerkgeräte, Fernwartungszugänge und Steuerungen bilden ein zusammenhängendes Angriffsökosystem. Wenn darin Segmentierung, Mehr-Faktor-Authentifizierung, Härtung und Monitoring fehlen, kann eine scheinbar entfernte Komponente zum Sprungbrett eines lebensbedrohlichen KRITIS-Vorfalls werden.

Experten sehen eine Machtdemonstration

Zwar wurden in den bekannten Fällen bislang keine langfristigen Schäden gemeldet. Neilson ist erleichtert: „Es ist ein Glück im Unglück, dass dieser Angriff in einem kleinen Kraftwerk stattfand und keine Auswirkungen auf das gesamte britische Energiesystem hatte.“ Doch mehrere Sicherheitsexperten sehen gerade darin den Beweis für eine kontrollierte Eskalation. Schon der Nachweis, dass ein Angreifer remote in Steuerungsumgebungen eindringen und Betreiber zum Notbetrieb zwingen kann, reicht als Machtdemonstration.

„Ein Angreifer hat nichts davon, ein Gasspitzenkraftwerk lahmzulegen, das nur wenige Stunden pro Woche läuft”, sagt Jamie Moles, Senior Technical Manager bei ExtraHop. “Die Öffentlichkeit würde dies niemals bemerken. Ein solcher Standort bietet etwas anderes: den Beweis für eine Reichweite in einem Maßstab, der zu gering ist, um eine Reaktion hervorzurufen.“

Trevor Dearing, Senior Director für kritische Infrastruktur beim Sicherheitsanbieter Illumio, sieht in dem britischen Vorfall ebenfalls ein Warnsignal: „Die größte Sorge ist, dass ein Kraftwerk trotz wiederholter Warnungen vor der Bedrohung durch nationalstaatliche und politisch motivierte Gruppen vier Tage lang ausfallen kann.“

Die eigentliche Lehre: OT-Resilienz beginnt bei den Rändern

Die Vorfälle in Großbritannien, den USA und Polen unterscheiden sich in Technik, Ziel und unmittelbarer Wirkung. Ihr gemeinsamer Nenner liegt in der Peripherie kritischer Infrastrukturen: kleine Kraftwerke, kommunale Wasserwerke, Fernzugänge und exponierte Steuerungen bzw. Managementschnittstellen.

Merksatz für KRITIS-Betreiber: OT-Sicherheit darf nicht erst an der zentralen Anlage beginnen.

--

Dieser Artikel basiert auf einem Beitrag unserer Schwester-Website Computing.