Hack: Steuerungs-Systeme deutscher Wasserwerke nicht geschützt

Wegen „unzureichender Sicherheits-Konfigurationen“ war es zwei deutschen Sicherheitsforschern möglich, sich in die Steuersysteme von Blockheizkraftwerken und Wasserwerken in Deutschland einzuklinken. Eine Sabotage wäre demnach ohne großen Aufwand möglich gewesen.

Einfach kein Schutz

Laut dem konnten sich die beiden Sicherheitsforscher Philipp Schäfers und Sebastian Neef – beide tätigt bei Internetwache.org – über das Internet Zugriff zu verschiedenen sensiblen Steuer-Anlagen in Industrie-Betrieben verschaffen. Schäfers und Neef wollen laut eigener Aussage entdeckt haben, dass digitalen Steuerungen mehrerer deutscher Wasserwerke, Blockheizkraftwerke und Biogasanlagen offen zugänglich im Netz waren. IT-Sicherheit: Der Fehler Mensch wird oft zum Problem Wie die beiden IT-Experten betonen, sei es über diese Zugänge mit relativ geringem Aufwand möglich gewesen, nicht nur eine unbemerkte Überwachung durchzuführen, sondern auch eine Manipulation der Steuerung zu erreichen. „Mich schockiert, wie leicht diese Anlagen zu finden waren und wie einfach Hacker sie mit Standardmethoden hätten sabotieren können“, so Schäfers gegenüber dem Spiegel.

Die beiden Enthusiasten hatten ihre Funde schon vor mehreren Wochen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet. Das Amt soll dann wiederum mit den Betreibern Kontakt aufgenommen und dafür Sorge getragen haben, dass aktuell keine der betroffenen Anlagen mehr frei im Netz erreichbar ist.

Einfach mal umgeschaut

Die beiden Sicherheitsforscher hatten ihre kritischen Funde einer selbst geschriebenen Software zu verdanken, mit der automatisch mehr als vier Milliarden derzeit erreichbare Internetadressen gescannt wurden. Unter den Ergebnissen stachen dann 80 ungeschützte Steueranlagen heraus, die alle mit der Software eines einzigen Herstellers betrieben wurden. Neben den deutschen Industrieanlagen waren demnach auch Anlagen in Italien, Shoppingzentren in Chile sowie zwei moderne Hochhaustürme in Israel von dem Problem betroffen.

Das IT-Sicherheitsunternehmen Kaspersky hatte ebenfalls erst in dieser Woche in einem eigenen Bericht darauf hingewiesen, dass in Deutschland mehr als 26.000 Rechner mit Steuerungssoftware frei über das Netz erreichbar sind und vor allem in den Bereichen Energie, Transport, Luft- und Raumfahrt sowie Finanzen oft keine ausreichenden Schutzmaßnahmen ergriffen würden.

Kaspersky Internet Security 2016 – Internet-Sicherheitssoftware Industrie, Wasserwerk, Rohre Green Mamba (CC BY-ND 2.0)

wtf Beispiel