Stellen Sie sich vor, der Strom fällt aus – im Winter. Normalerweise beunruhigt uns das nur wenig, denn wir wissen, dass das nicht lange anhält. In der Regel ist der Strom nach wenigen Minuten, spätestens aber nach wenigen Stunden wieder da. 99,99% im Jahr ist Strom in Deutschland verfügbar.
Was aber, wenn er nicht wiederkommt – für etliche Tage? Bestseller-Autor Marc Elsberg hat zu diesem Thema den Roman Blackout geschrieben, und den Anfang der Geschichte in unserem Online-Cisco-Security-Event selbst erzählt und auch auf Teilnehmerfragen geantwortet. Denn ohne Strom geht in unserer Welt nichts mehr: Keine Kühltheke oder Gefrierschrank arbeitet mehr, das Essen verdirbt in zwei Tagen. Die Wasserversorgung bricht zusammen und damit die Klospülung und die Trinkwasserversorgung. Benzinpumpen in Tankstellen funktionieren nicht mehr, auch der Transport kommt zum Erliegen. Die Funkmasten für mobile Telefonie sind nach einer Stunde tot – wie auch das Internet. Und die Verkehrsunfälle häufen sich, weil alle Ampeln dunkel sind.
Im Roman beginnt der Stromausfall in Italien und Schweden und breitet sich wie ein Domino-Effekt über ganz Europa aus. Wer den Roman liest, erkennt, wie nah er an der Wirklichkeit ist. Im Gespräch erläutert Marc Elsberg, wie viele Gespräche er im Vorfeld mit Energieexperten und IT-Fachleuten geführt hat und dass es offensichtlich etliche Schwachstellen gibt, an denen ein Angriff auf das Stromnetz möglich wäre.
Das Buch zeigt auch, wie hochgradig unsere Gesellschaft vernetzt ist und damit unseren hohen Lebensstandard und den Lebensstil erst möglich macht. Oft reichen schon Angriffe auf einzelne Systeme, um andere Systeme ins Wanken zu bringen. Eine besonders wichtige Rolle spielen dabei digitale Netzwerke, weil darüber nahezu unsere gesamte Infrastruktur gesteuert wird.
Blackout ist nah an der Realität
Das solche Angriffe keine Fiktion sind, sondern in der Wirklichkeit täglich mehrfach passieren, zeigte anschließend Holger Unterbrink, Technical Lead bei Talos in Deutschland. Die größte Gefahr geht dabei nicht von kleinen Hackergruppen, sondern von feindlichen Staaten aus, die über die entsprechenden Mittel verfügen (sogenannte Nation State Attacks). Ein Beispiel dafür ist Stuxnet – ein Angriff auf die Atomanlagen im Iran – aus dem Jahre 2010, dass nach Schätzungen für die Entwicklungszeit von fünf Jahren ca. 300 Mio. US an Kosten verursacht hat. Auch dazu gibt es Literatur, allerdings eher Non-Fiction wie „Countdown to Zero Day“ oder den Film „Zero Days – World War 3.0“.
Dass es aber auch Angriffe auf Stromnetze gibt, zeigt ein Vorfall aus dem Jahr 2015 in der Ukraine. Dabei wurden die Computersysteme in der Leitstelle übernommen und per Remote Desktop über das Internet ferngesteuert. Es erfolgte also kein direkter Angriff auf die Steuerungssysteme. Im Gegensatz zu einem Stromausfall 2016 in Kiew, bei dem die Kommunikationsprotokolle genutzt wurden, mit denen die Stromnetze Informationen und Befehle austauschen. Dieser Angriff ist unter dem Begriff „Industroyer“ bekannt.
Allerdings gab es nach Erscheinen von „Blackout“ viele Diskussionen und Aktivität im Bereich der Sicherheit für Kritische Infrastrukturen (KRITIS). Es wurden zahlreiche Security-Initiativen gestartet und Angriffe sind heutzutage viel schwieriger als noch vor wenigen Jahren. Dennoch versuchen Angreifer permanent, Zugriffsmöglichkeiten zu erlangen (auch auf Business-Netzwerke bei den Betreibern) oder Personen zu rekrutieren, die Insider-Attacken ausführen können. Selbst wenn die Möglichkeiten eventuell vorhanden sind, schätzt Holger Unterbrink einen Angriff auf Stromnetze in Deutschland eher gering ein (aus politischen Gründen). Tatsächlich finden viel mehr Angriffe auf mittelständische und große Unternehmen statt, um sie zu ruinieren oder zu erpressen.
Verhalten von Unternehmen
Michael von der Horst hat als Cisco Security Manager dazu bei seinen Kunden die Erfahrung gemacht, dass oft erst im Falle eines Angriffs der Ernst der Lage erkannt wird: “Bei meinen Kunden erlebe ich oft, dass die Gefahr intellektuell verstanden wird. Aber gerade bei kleineren und mittleren Unternehmen wird dann viel zu wenig umgesetzt. Die Aktivitäten setzen erst dann ein, wenn sie angegriffen und betroffen sind. Die wenigsten Unternehmen machen das Thema Sicherheit zur Chefsache und entwickeln ein Sicherheitskonzept.”
Als Gründe für die nur rudimentäre Umsetzung werden oft mangelnde Zeit und geringe Budgets angeführt, allerdings übersteigen die Schäden im Falle eines Angriffs das bei weitem. Um einen effektiven Schutz aufzubauen, sollte ein Unternehmen als erstes ermitteln, welche Bereiche und Assets zu schützen sind, eine Umsetzungsstrategie aufbauen und sukzessive konsequent umsetzen. Außerdem sollte man viel in das Training seiner Mitarbeiter investieren, damit diese sich im Alltag richtig verhalten und Gefahren rechtzeitig erkennen.
Sie möchten Ihr Unternehmen noch besser absichern? Weitere Informationen finden Sie unter folgenden Links:
- Cisco Umbrella kostenlos testen
- Umbrella Security Report
- Cisco Talos
- Cisco Security Blog Deutschland
Authors
