US-Experten kritisieren Absicherung kritischer Infrastrukturen

Mitte Oktober ging US-Verteidigungsminister Leon Panetta mit einer erstaunlichen Aussage an die Öffentlichkeit: Es habe bereits mehrere erfolgreiche Angriffe auf computergesteuerte Kontrollsysteme amerikanischer Elektrizitäts- und Wasserversorger gegeben und auch Transportsysteme seien bereits gehackt worden. Wer genau dahintersteckte und welches Ausmaß die Attacken hatten, erläuterte der Politiker im Detail zwar nicht. Doch er betonte, dass die Vorgänge zeigten, dass fremde Mächte oder extremistische Gruppen solche Strategien anwenden könnten, um kritische Infrastrukturen des Landes auszuschalten.

Computersicherheitsexperten halten Panettas Aussagen durchaus für plausibel, selbst wenn unklar sei, wie wahrscheinlich ein solches Szenario ist, berichtet Technology Review in seiner Online-Ausgabe. Die veraltete Technik, die von Betreibern systemkritischer Einrichtungen nach wie vor eingesetzt werde, biete genügend Angriffsziele. "Im Bereich der Energie- und Wasserversorgung hat man eine ganz andere Sicht auf die Dinge als in der IT-Branche", meint Chris Blask, Chef von ICS Cybersecurity, einer Firma, die Infrastrukturanbietern hilft, ihre Anlagen zu sichern. "Stabilität und Verlässlichkeit sind wichtiger als alles andere – schließlich muss das Licht anbleiben."

So gilt es offenbar als verpönt, scheinbar unnötige Software-Updates einzuspielen, weil diese Probleme bereiten könnten. So bleiben Lücken länger bestehen – auch in Systemen, die nicht immer vom Internet isoliert sind, wie Blask berichtet. Und der Trend geht dahin, Technik von außen erreichbar zu machen. Remote-Access-Systeme werden mittlerweile von vielen Infrastruktur-Konzernen, ihren Vertragsunternehmen und Angestellten verwendet, weil sie Effizienz und Bequemlichkeit versprechen. "Das kann dann ein Kraftwerksingenieur sein, der keine Lust hat, im Schnee zu einem Umspannwerk zu fahren", sagt Roy Campbell, der die Sicherheit kritischer Infrastrukturen an der University of Illinois in Urbana-Champaign erforscht.

Mehr zum Thema in Technology Review online:

(bsc)

View the original article here

Read More

CAST diskutiert strukturelle Defizite kritischer Infrastrukturen

Als "Hot Topic" hatte das CAST-Forum seine Veranstaltung zum Schutz kritischer Infrastrukturen bezeichnet. Der Trend, die industrielle Informationstechnik bis zur Feldebene einzelner Sensoren in der Fertigung oder Energieversorgung mit dem "normalen" Internet zu vernetzen, sei bedenklich. Mit Simulationen, der Neuberechnung von Toleranzgrenzen und industriellem Schwachstellenmanagement wollen die versammelten Experten den Schutz verbessern.

Wenn der Strom weg ist, geht gar nichts mehr. Wie Benjamin Lambrecht vom BSI ausführte, wird die Stromversorgung in Deutschland über Prozessleit- und Fernwirkungssysteme (SCADA) überwacht, die ganz andere Lebenszyklen als die Büro-IT haben. Mit Windows NT 3.51 und 4 würden Betriebssysteme eingesetzt, die nicht mehr gewartet werden. Die Mess- und Regelungstechnik sei auf eine Laufzeit von 15 bis 20 Jahren ausgelegt. Hinzu komme, dass SCADA-Systeme sehr empfindlich seien und schon ein Portscan zum Absturz der Systeme führen könne. Sie seien damit ein gefundenes Fressen für Angreifer, die sich mit Suchmaschinen wie Shodan ein Opfer suchen, oder die längst industrielle Steuerungsanlagen infiltriert haben. "Wir wissen nicht, ob sie in den Systemen sind", erklärte Lambrecht. Ob beim Angriff auf Gleisanlagen in den USA Skript-Kiddies am Werk sind oder Hack-Mujadehins, das könne kaum geklärt werden.

Ein direktes Verbot, SCADA-Systeme oder Fabriken "ans Netz" zu hängen, wurde von den Diskutanten abgelehnt. Die Spareffekte bei der Energie- und Wasserversorgung oder in der Fabriksteuerung seien einfach zu groß. Wer etwa eine Pumpe nicht von Russland aus steuern kann, ist wirtschaftlich im Nachteil. Zugleich sei der Schutz kritischer Infrastrukturen ein außerordentlich lukrativer Markt. Wie Sebastian Schmerl vom Schweizer Spezialisten AGT International ausführte, konnte die Firma seit dem Start im Jahre 2007 Schutzprojekte im Wert von 8 Milliarden US-Dollar umsetzen.

Die Sicherheitsexperten Joachim Müller und Michael Pietsch von der Oldenburger BTC zeichneten ein düsteres Bild existierender unsicherer Systeme, hatten aber auch Hoffnung, dass künftig die Komplexität von Stromnetzen entzerrt werden kann. Mit der Energiewende der Bundesrepublik komme dem Ausbau erneuerbarer Energien die Bedeutung eines Motors für größere Sicherheit zu, weil die Anlagen sicherer werden könnten, wenn sie in Smart Grids eingebettet würden.

Diese Hoffnung bekam zuvor einen ordentlichen Dämpfer durch Dirk Lehmann von der BTU Cottbus. Dort wird am Lehrstuhl Energieverteilung und Hochspannungstechnik in einem Reallabor mit einem dynamischen Stromnetz experimentiert, wie es in Zukunft zu Hunderten in Deutschland geben soll. Das Testnetz besteht aus einer Solaranlage, einem Batteriesystem und 16 Elektromobilen, die von der Anlage versorgt werden, aber auch als Stromspeicher dienen und in Spitzenzeiten Strom ins öffentliche Netz einspeisen sollen. Lehmann zeigte etliche Angriffsvektoren auf, angefangen bei der Bluetooth/WLAN-Kommunikation zwischen Elektromobil und Ladestelle bis hin zum Ethernet-Zugriff auf die SPS-Software, die die Ladecontroller bedient. So sind die Messzähler, die die Industrie derzeit anbietet, noch gar nicht auf das Rückspeisen von Strom ausgelegt. Überdies seien sie schlecht gesichert: "Die Verfälschung der Messwerte ist für meine Studenten im fünften bis sechsten Semester möglich." (Detlef Borchers) / (anw)

View the original article here

Read More

Schutz kritischer Infrastrukturen auf dem Prüfstand

Drei Tage lang beschäftigte sich das Innovationsforum des Bundesministeriums für Bildung und Forschung (BMBF) unter dem Stichwort zivile Sicherheit in der Gesellschaft mit dem Schutz kritischer Infrastrukturen, der urbanen Sicherheit und der Zukunft einer sicheren Gesellschaft. Die Konferenz zur "Halbzeit" des deutsch-europäischen Sicherheitsforschungsprogrammes zeigte auch, welche Themen in Zukunft bearbeitet werden müssen. Vor allem muss noch erforscht werden, wie Social Media zur Katastrophenkommunikation wie zur Information und Lagebilderstellung genutzt werden kann.

Was ist, wenn Mitteleuropa ein winterliches Extremwetter bekommt, erst viel Schnee, dann einen präzendenzlosen Frost? Was ist, wenn alle Banken durch einen tief sitzenden Softwarefehler vier Tage offline sind? Was bedeutet es, wenn die Furcht vor Kriminalität zu einer allgegenwärtigen Kontrolle und Überwachung urbaner Räume führt? Mit diesen Themen beschäftigten sich die Experten unter dem Thema "Sicherheit 2025".

Nur ein andersläufiges Szenario war dabei und wurde prompt vehement debattiert und von einigen abgelehnt: "Wie kann ein Flughafen 2025 aussehen, wenn nicht der Schutz vor allen möglichen Bedrohungen, sondern Unsicherheit als Kernbestandteil des Lebens in der Bevölkerung akzeptiert ist?" Für Sicherheitsexperten ist undenkbar, wenn dank einer "Unsicherheitsakzeptanz" Körperscanner und das Sicherheitstheater beim Check-In abgeschafft würden. Das Flughafenszenario, das vom Zukunftsforscher und Kybernetiker Karlheinz Steinmüller vorgestellt wurde, zeigte die Grenzen der Innovationsforschung auf, verwies es doch auf ein Szenario, in dem die Sicherheitsforschung selbst zurückgebaut werden kann.

In zwei Abschlussrunden am letzten Tag wurde deshalb die Politik auf die Bühne gebeten, die in der Gesellschaft die Spielräume als Gesetzgeber definiert. Hans-Peter Uhl, sicherheitspolitischer Sprecher der CDU/CSU-Bundestagsfraktion, verwies auf das Beispiel der Vielflieger, die sich durch zusätzliche Maßnahmen wie bei der deutschen automatisierten biometriegestützten Grenzkontrolle das Leben erleichtern könnten. Diese Form des Schnell-Check-Ins soll auf dem künftigen Willy-Brandt-Flughafen in Berlin eingesetzt werden.

Frank Tempel, drogenpolitischer Sprecher der Linksfraktion, verwies auf die Bürgergesellschaft und das Ehrenamt, das kriminellen Schreckensszenarien entgegengesetzt werden müsse. Die viel belästerte Vereinsmeierei in Deutschland sei eben auch eine Möglichkeit, straffällig gewordene Jugendliche über Fußballverein und THW und Feuerwehr wieder zurückzuholen, wenn sie nicht durch staatliche Budgetkürzungen ausgetrocknet würde.

Zum Schulterschluss beider Politiker kam es, als ein Vertreter des Bundesinnenministeriums vorschlug, zwei Klassen der Flughafensicherheit einzuführen, eine für Billigflieger ohne jegliche Sicherheit, eine für Fluglinien mit einem guten Namen, denen der Schutz vor Terror wichtig sei. Uhl und Tempel lehnten beide ein solches Zweiklassensystem energisch ab.

In der zweiten Abschlussrunde entwickelte sich ein munteres Geplänkel zwischen Konstantin von Notz, dem netzpolitischen Sprecher der Grünen und Jürgen Stock, dem Vizepräsidenten des Bundeskriminalamtes (BKA), sowie Wolf-Dieter Lukas, im BMBF verantwortlich für das Sicherheitsforschungsprogramm. Notz kritisierte Entwicklungen wie die Einführung von Körperscannern an Flughäfen und das INDECT-Programm. Lukas konterte, indem er das BKA ausdrücklich dafür lobte, dass es sich bei INDECT (PDF-Datei) wegen der Datenschutzproblematik nicht beteiligt habe.

In puncto Körperscanner verwies Lukas auf die Testläufe, die Deutschland als einziges Land durchgeführt habe: "Wir richten uns nicht an der Sicherheit aus, sondern am Bürger. So schlecht waren wir da nicht." Von Notz kritisierte daraufhin die Vorratsdatenspeicherung als Technik, die nicht verfassungskonform umgesetzt werden könne, aber zu einer Debatte geführt habe, bei der ganz andere wichtige Dinge außer Sicht gerieten. Ihm entgegnete BKA-Vize Stock: "Wir haben hoch konspirative Tätergruppen, die mit moderner Verschlüsselung arbeiten, wo die Vorratsdatenspeicherung oftmals der einzige Ermittlungsansatz bleibt. Wir glauben, das Instrument zu brauchen, wir glauben, dass es effektiv ist." Tempel, vor seiner Arbeit für die Linksfraktion ein auf Vernehmungstechniken spezialisierter Kriminalkommissar, erklärte die Vorratsdatenspeicherung aus ermittlungstechnischer Sicht für vernünftig, doch sei sie absolut nicht verhältnismäßig und keineswegs grundrechtsschonend einsetzbar.

In einem Fazit des Innovationsforums, das im Mai 2014 wiederholt werden soll, verwies Lukas auf die Rolle der sozialen Medien. Die Frage, wie die dort auflaufenden Informationen genutzt werden können, seien im bisherigen Sicherheitsforschungsprogramm zu kurz gekommen. Diese Selbstkritik galt freilich nicht dem Kongress der Sicherheitsexperten, der mehrere Gesprächskreise zu diesem Thema auf der Agenda hatte.

Peer Rechenbach, oberster Katastrophenschützer Hamburgs, machte darauf aufmerksam, wie neue Technik alte Systeme ersetzen. So hätten Schneesturm-Meldungen via Twitter in Schottland längst den Wetterbericht abgelöst. "So viele Hubschrauber, wie Helmut Schmidt 1962 einsetzen konnte, haben wir in der ganzen Republik nicht mehr." Man müsse in solchen Mangelsituationen auf Twitter als Frühwarnsystem und Instrument für eine präzise Beurteilung der Lage setzen. Rechenbach trat dem Argument entgegen, dass dann bestimmte Bevölkerungsgruppen ausgeschlossen seien. "Die Oma hat ein Internet-Medium und das ist ihr Enkelkind." Am Ende durften sich die über 600 in Berlin versammelten Sicherheitsforscher über neue Forschungsfelder gefreut haben. (Detlef Borchers) / (anw)

View the original article here

Read More