Sicherheit in Industriekontrollsystemen ist keine Glücksache, aber bedroht
Was macht ein Sandwurm im Wasserwerk? Nichts vermutlich. Diese Tierchen mit dem hübschen Familienname „Arenicolidae“ tummeln sich überdimensioniert in Frank Herberts legendärer Space Opera „Dune“. Im wirklichen Meeresdasein sind sie klein, liefern keinen Spice, aber futtern Zellschutt und Kleinstlebewesen, machen sich also erheblich nützlich. Sie sind außerdem das Leitmotiv von Andy Greenbergs unbedingt lesenswerter Dokumentation „Operation Sandworm“.1 Dort allerdings zählt nur die Referenz auf Dune. Und wie hängen Dune und Würmchen jetzt zusammen? Gar nicht. Zusammenhänge muss man konstruieren. Wie im Leben von Cyberforensikern. Das könnte zumindest eine Lehre aus der Lektüre des Buchs von Greenberg sein.
Sandworm ist der Arbeitsname für eine Gruppe von Blackhat-Hackern, also von Kriminellen oder staatlichen Akteuren, deren zweifelhafter Job es ist, gegen Gesetze und Regeln – national wie international – zu verstoßen. In diesem Fall ist es die Zuschreibung von erheblich schädigenden Aktivitäten an eine Gruppe russischer Akteure der Abteilung 74455 des russischen Inlandsgeheimnisses GRU. Besser sollte man hier von Crackern sprechen, denn sie geben sich nicht damit ab, in Systeme einzudringen und Daten abfließen zu lassen. Es agieren russische Cyberkriminelle auf Staatsgeheiß – mutmaßlich – nicht nur gegen die Ukraine, sondern auch gegen die USA. Forensiker finden Zitate aus Dune im Code. Aber mit Biologie hat das genauso wenig wie mit Science Fiction zu tun. Mit ihren Aktionen störten die Geheimdienstler Wahlen, attackierten die IT-Infrastruktur der olympischen Winterspiele 2018 in Korea. Sie störten und zerstörten zudem Hardware, echtes Gerät. OT im kritischen Sektor. Staatlich verordneter Terror, den Greenberg mit Bezug auf Aussagen von IT-Sicherheitsspezialisten als Cyberwar beschreibt. Er zitiert: „Es geht darum, den Leuten eine Heidenangst einzujagen, damit sie den Kampfwillen verlieren, ihre Meinung über die Legitimität ihres eigenen Sicherheitsdienstes ändern oder überreagieren.“ Das hat zum Glück bisher nicht funktioniert. Aber WannaCry, NotPetya oder AcidRain haben monetäre Schäden verursacht. Beispiel WannaCry: Allein 2017 sollen vier Milliarden Dollar Schäden in 150 Ländern entstanden sein.2
Jetzt könnte man mutmaßen, dass das alles schon lange her ist. Seitdem wirkelt KI in den Firewalls. Mit Zero Trust, Zero Knowledge und Least Privileges existieren neue Paradigmen für absichernde Prinzipien, die eine andere Kryptographie erlauben, Strukturen etablieren, die Probleme des Perimeterschutzes und der Endpoint Security beheben und traditionelle Mittel ergänzen. Micro Fencing, also punktgenaues Segmentieren von Netzwerken, erweitert den Schutz. Und doch: Es gibt Angriffe auf die Cybersicherheit von kritischen Infrastrukturen. Wen wundert’s. Ende Juli wurde bekannt, dass Cyberkriminelle wieder einmal programmierbare Steuerungen in kritischer Infrastruktur attackiert haben. Die Rede ist von 30 kommunalen Wasserversorgern allein in Minnesota. Angriffe soll es auch in Michigan und Georgia, insgesamt laut FBI in mindestens elf Bundesstaaten gegeben haben. Die Spur führt nun in den Iran. Das klingt alles nach der „Rache des Kanalarbeiters“. Schlimmer als der Fakt an sich ist der Erfolg, den man heute noch trotz der oben erwähnten Techniken erzielen kann. Die Zeiten sind instabil. Wir können es uns schon lange nicht mehr leisten, nichts zu tun. Das wissen viele. Und vieles gelingt den Schurken technisch nicht mehr.
Während das unterdrückte Wüstenvolk der Fremen im Roman Dune auf Sandwürmern reitet und mit magischen Mitteln und ihrer Hoffnung auf einen neuen, messianischer Führer wartet, handeln die Verantwortlichen in den USA. Vor einer Woche wurde bekannt, dass die National Rural Water Association (NRWA) zusammen mit Sicherheitsspezialisten einer Gruppe namens DEF CON Franklin, Spinoff der berühmten Hackerkonferenz mit 450 Cyberspezialisten, ein Water Watch Center aufziehen. Und bekannte Security-Firmen sind ebenfalls mit an Bord. In Maryland hat die Arbeit bereits begonnen. Dennoch fielen die Kinder erst einmal reihenweise in den Brunnen: Die NRWA hatte sich vor dem jüngsten Vorfall laut Medienbericht3 gegen die Einführung strengerer Vorschriften zur Cybersicherheit gewehrt. Neue Vorschriften zwängen die die Wasserversorger dazu, die Preise zu erhöhen. Dass die Vorstellungen der Finanzabteilungen sich nach der Wirklichkeit zu strecken haben, belegt einmal mehr die Gegenwart. Instabilität bekämpft man eben nur durch den Einsatz von Mitteln. Vor allem, wenn schon jahrelang bekannt ist, dass ungeschützte Industriekontrollsysteme den Absichten von Sandworm und Co. in die Hände spielen.
Cybersicherheit ist eine Angelegenheit, die uns mittlerweile alle angeht. Die EU hat unter anderem mit dem DORA, NIS2 oder dem Cyber Resilience Act geliefert. Jetzt liegt es an uns, in gemeinsamer Anstrengung die Anforderungen zu erfüllen, damit Europa weiterhin ein sicherer Kontinent bleibt und Cyberschurken chancenlos werden.
1 Andy Greenberg, Operation Sandworm. The Hunt for the Kremlins Elite Cyber Army. London (Monoray/Octopus Publishing) 2019; mit Dank an Sarah Fluchs, deren Lektüreempfehlung ich gern gefolgt bin.
2 Ein CBS-Artikel nennt diese Zahl bereits im Jahr der Schäden (2017) in Bezugnahme auf Guidewire Cyence: https://www.cbsnews.com/news/wannacry-ransomware-attacks-wannacry-virus-losses/.
3 https://therecord.media/water-watch-center-utilities-def-con-franklin-nrwa.