2018 sind wir in einem Zeitalter der Automatisierung und Vernetzung und die Angriffe gegen die IT-Systeme der Transportbranche sind nicht mehr zu überblicken. Angesichts häufig leicht verwundbarer Systeme wetteifern Hacker in ihrem Einfallsreichtum, um Schwachstellen auszunutzen. Dies gilt ebenso für sehr gut gesicherte Systeme.
Letzten Mai war in Kopenhagen ein Unternehmen, das ein Netz von Fahrradstationen betreibt, Opfer eines Datendiebstahls. Das Vorgehen war zwar primitiv (Löschung der Datenbank), führte aber zum Verlust des Zugriffs auf die Fahrradflotte. Alle Fahrräder mussten manuell neugebootet werden. Ein rachsüchtiger ehemaliger Mitarbeiter, ein Streich der Konkurrenz oder einfach ein Scriptkiddie, ein zufällig erfolgreicher Hacker-Amateur? Wie immer ist es kaum möglich, die Motivation eines solchen Angriffs mit relativ begrenzten Konsequenzen zu ergründen. Aber es handelte sich hier nur um einen Fahrradverleiher ... Stellen wir uns einmal, ohne in Panik zu verfallen, vier etwas spektakulärere Szenarien vor.
Auf dem Weg zu einer „Cyberversion des 11. Septembers”?
Im zweiten Film der Reihe Stirb langsam mit Bruce Willis (nach der Romanvorlage 58 Minuten Angst), wird ein Flughafen besetzt. Ohne funktionierenden Kontrollturm können die Flugzeuge nicht mehr landen und stürzen ab, entweder wegen Treibstoffmangels oder aufgrund gezielter Falschinformationen über die Landebahn. Die Geschichte ist im Jahr 1990 angelegt. 28 Jahre später würde dies ganz anders aussehen. Im Gegensatz zum von Schießereien strotzenden Film ließe sich die Übernahme der Kontrolle heute sehr viel diskreter gestalten, wenn man bedenkt, dass im Schnitt fast 300 Tage vergehen, bis auffällt, dass ein IT-System Opfer eines erfolgreichen Cyberangriffs wurde ...
Es ist keine Kommandoaktion mehr nötig, es genügt ein einziger Pirat, dem es gelingt einen unvorsichtigen Angestellten einer Billigairline zu identifizieren und ihn beispielsweise dazu zu bringen, einen USB-Stick mit einem Schadcode in das Laufwerk seines Arbeitsplatzrechners zu stecken. Es gibt zwar viele Barrieren, aber die Flughafendienste und die Flugzeuge selbst sind heute alle vernetzt. Und entsprechend verletzlich: Wenn es einmal gelungen ist, in den Server einzudringen, wo die Tickets für heute gespeichert sind, gelingt es einem geduldigen Netzwerkangreifer nach und nach, von einem Server zum nächsten hangelnd, bis zum Kontrollturm zu gelangen und nebenbei auch noch in die Systeme für die Gepäckabfertigung und die Flugzeugbetankung. Oder auch die Kontrolle über ein Flugzeug zu übernehmen. Die Erkundung des Terrains kann zwar sehr langwierig sein, aber es können ein paar Minuten genügen, um ein Chaos anzurichten, indem man die Signale für den Landeanflug manipuliert, die Gepäckabfertigung lahmlegt oder die Treibstofftanks überlaufen lässt. Aus der Perspektive, dass ein Flugzeug heute eine vernetzte technische Maschine ist, lässt sich ein „11. September auf Cyber-Art“ nicht ausschließen. Ansonsten kann man sich auch den Angriff eines Luftpiraten aus der Kabine oder vom Boden aus vorstellen: Einem amerikanischen Wissenschaftler ist es beispielsweise gelungen, den Kurs eine Flugzeugs zu ändern, indem er eine Anweisung an eines der Triebwerke schickte. Anstatt der ursprünglich 58 Minuten, um die Katastrophe abzuwenden, hätte John McClane – der von Bruce Willis verkörperte Held – im Jahr 2018 nur noch 3 Minuten für die gleiche Aufgabe zur Verfügung.
Einbruch in ein Zugticketverkaufssystem
In einer Zeit, wo der Eisenbahnverkehr für die Konkurrenz geöffnet wird, ist dies ein sehr plausibles Szenario: Nicht eine Kriegserklärung zwischen Staaten, nach der es zu einer fatalen Entgleisung kommt, sondern klitzekleine Sabotagen, die in den Augen der Kunden den Ruf schädigen. Geht es um das Eindringen in IT-Systeme, oder darum, eine Vielzahl von Verspätungen zu produzieren? Einen großen finanziellen Schaden, oder eine allmähliche Verringerung der Gewinne?
Wenn das Ziel nicht darin besteht, eine spektakulären Coup zu landen, sondern den Ruf eines Unternehmens zu schädigen, kann man es so anstellen, dass jeder verkaufte Sitzplatz noch einmal verkauft werden kann. Auf dem Bahnsteig warten dann doppelt so viele Leute Reisende, wie in den Zug passen. Das SWIFT-Banknetzwerk ist bereits gehackt worden, was jederzeit wieder geschehen kann. Ziel muss nicht unbedingt Bereicherung sein, es kann sich auch darum handeln, einen Angriff durchzuführen, der darauf abzielt, spürbare Behinderungen auf den Bahnsteigen auszulösen. Die Website eines Eisenbahnunternehmens weist das gleiche Komplexitätsniveau auf wie jede andere Online-Interbank-Schnittstelle und erweist sich dementsprechend potenziell angreifbar. Der Fall ist jedoch ungleich besorgniserregender und im Fall eines Angriffs ist der Staat selbst gehalten, sich mit dem Problem auseinanderzusetzen.
Tankstellen, Mautstellen, Tunnel: das Straßennetz potenziell gefährdet
Amerikanischen Hackern ist es unlängst gelungen, an einer Tankstelle das EDV-gestützte Zahlungssystem zu hacken und sich auf diese Weise kostenlosen Treibstoff im Wert von 1.500 USD zu verschaffen. Was den straßengebundenen Transport angeht, ist keine Konkurrenz zu fürchten (praktisch nicht vorhanden) – auch keine staatliche. Dafür sind Angriffe mit Erpressungssoftware an Mautstellen und allen gebührenpflichtigen Abschnitten des Straßennetzes wahrscheinlicher. Nehmen wir beispielsweise einen Tunnelbetreiber (wie der Mont-Blanc-Tunnel oder Eurotunnel): jede Person, der es gelänge, sich die Kontrolle über die IT-Systeme zu verschaffen, könnte das für die Infrastruktur verantwortliche Unternehmen erpressen. Die Gewalt über das Belüftungssystem des Tunnels könnte einem Erpresser ein wirksames Druckmittel in die Hand geben. Mit weniger Ehrgeiz könnte man sich immer noch um die Kontrolle der Zugänge und der Parkplätze kümmern...
Ein solcher Pirat müsste dann so lange wie möglich die Kontrolle über das Druckmittel seiner Erpressung beibehalten. Das lässt sich mit einem Virus vom Typ MyloBot erreichen, einer Malware, die in der Lage ist, alle ihr gleichenden Codes auszulöschen, die Sicherheitslücken, durch die sie eingedrungen ist, hinter sich zu schließen und sich dann im Inneren des Netzwerks einzumauern.
Hackende Cyberaktivisten gegen die Verschmutzung der Meere
Was könnte jemanden zu einem Cyberangriff auf den maritimen Warenverkehr bewegen? Zahlreiche Betriebe führen giftige Produkte ein und aus, wie beispielsweise im Port autonome de Gennevilliers, dem größten Hafen seiner Art in Frankreich. Dort werden immense Mengen Öl und Gas auf dem Flussweg angeliefert. Ein Hacker-Ökoaktivist könnte auf die Idee kommen, seiner Botschaft Nachdruck zu verleihen, indem er in die IT-Systeme eindringt, die die Ankunft der Schiffe steuern.
Solche Systeme funktionieren im Allgemeinen ohne Verbindung zum Internet, können aber durchaus vernetzt sein und sind keineswegs unangreifbar. In Wirklichkeit gibt es immer eine Möglichkeit zur Überwindung des Verteidigungsrings - Im Kontext solcher scheinbar sicherer Objekte spricht man dabei auch von air gap. Die Lichtsignale zur Verkehrssteuerung werden natürlich von einem Netzwerk gesteuert. Man kann sich vorstellen, dass jemand mit üblen Absichten, dem es gelänge, diese zu manipulieren, in der Lage wäre, so viele Schiffe in den Hafen zu lassen, dass ein Chaos entsteht, oder absichtlich Unfälle herbeizuführen.
Dann hätte man es nicht mehr mit dem zweiten Stirb langsam zu tun, sondern mit dem vierten, der 2007 in die Kinos kam und in dem Piraten die Kontrolle über Signalanlagen übernehmen. Die Folgen lassen nicht auf sich warten. Es wäre wirklich besser, wenn der Hacker-Aktivist nicht den Zugang zu dem Schieber findet, der die Treibstoffbunker der Schiffsbetankung kontrolliert, und ihn öffnet, in der Erwartung, dass jemand eine Zigarettenkippe fallenlässt. Das wäre nicht so umweltfreundlich, aber spektakulär. In dem Hollywood Spektakel, genauso wie den auf die Flussfischerei spezialisierten Piraten gegenüber, ist man sofort bereit, zu spenden. Man kann sich vorstellen, was für ein Erfolg es wäre, die Kontrolle über den Panamakanal zu übernehmen.
Auch wenn sie nur imaginär sind, illustrieren diese Szenarios die Verwundbarkeit der Transportbranche und ihrer Netzwerke. Sie sind weitläufig, zerstreut, diffus, untereinander verbunden, und es sind eben diese Eigenschaften der Netzwerke, die ihre Sicherung besonders schwierig gestalten und sie somit verwundbar machen. Als erster Ansprechpartner für Fragen zu dieser Situation veröffentlichen die entsprechenden staatlichen Behörden (wie die ANSSI in Frankreich und das BSI in Deutschland) regelmäßig Empfehlungen und Best Practices.
Vielen Dank an Robert Wakim, Offer Manager Industry, für seine wertvolle Hilfe beim Verfassen dieses Artikels in Zusammenarbeit mit Usbek & Rica.
