Abo
  • Services:
Anzeige
Wasserwerke sollten aus dem Internet nicht erreichbar sein.
Wasserwerke sollten aus dem Internet nicht erreichbar sein. (Bild: Golem.de)

Schwachstellen aufgedeckt: Der leichtfertige Umgang mit kritischen Infrastrukturen

Wasserwerke sollten aus dem Internet nicht erreichbar sein.
Wasserwerke sollten aus dem Internet nicht erreichbar sein. (Bild: Golem.de)

Wasserwerke lahmlegen, fremde Wohnungen überhitzen oder einen Blackout auslösen: Wer weiß, wo er suchen muss, kann all dies über das Internet tun, wie Recherchen von Golem.de und Internetwache.org ergeben haben. Und viele Betreiber wichtiger Anlagen haben keine Ahnung von der Gefahr.

Feriengäste liegen im Bett, als mitten in der Nacht das Licht angeht - ferngesteuert. Betreiber eines Wasserwerkes stellen auf einmal fest, dass ihre Kontrollinstrumente ihnen falsche Werte anzeigen. Ein Luxusapartment in Israel gerät unter die Kontrolle Fremder. Was nach schlechten Szenen aus einem Hollywood-Film klingt, sind Ergebnisse einer mehrmonatigen Untersuchung zur IT-Sicherheit von Industriesteuerungen.

Anzeige

Die Resultate unserer Recherchen rund zwei Monate nach dem Inkrafttreten des IT-Sicherheitsgesetzes sind erschreckend. Innerhalb von wenigen Wochen gelang es uns, Zugriff auf die Steuerungssysteme von Wasserwerken, Blockheizkraftwerken, Interfaces zur Gebäudeautomatisierung und sonstigen Industrial Control Systems (ICS) zu erlangen. Weltweit waren über 100 Systeme betroffen. Auf die meisten ließ sich ohne besondere Authentifizierung lesend zugreifen. Einige Systeme ermöglichten sogar den Zugang zu Steuerungen, darunter waren deutsche Wasserwerke.

  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)

So können Angreifer nicht nur wichtige Daten kritischer Systeme auslesen, die Systeme sind auch angreifbar, können unter Umständen manipuliert, lahmgelegt oder sogar beschädigt werden. Und nicht nur die Systeme selbst sind in Gefahr, sondern auch Menschen oder Anlagen in ihrer Umgebung. Die Betreiber waren sich der weitreichenden Gefahr offenbar nicht bewusst.

Die Wasserversorgung Zehntausender unterbrechen

Von Wasserwerken sind Zehntausende Menschen abhängig. Umso überraschender, dass wir die Human-Machine-Interfaces (HMI) von vier Wasserwerken ausfindig machen konnten. Solche Interfaces dienen normalerweise der Überwachung und Steuerung von Maschinen und Anlagen vor Ort und sind Teil eines sogenannten Scada-Systems (Supervisory Control and Data Acquisition). Aus dem Internet sollten diese kritischen Systeme in keinem Fall zu erreichen sein. Wir fanden sie allerdings dort mit vergleichsweise einfachen Mitteln und erlangten so Zugriff auf ihre Administrationsoberflächen.

Drei dieser HMIs ließen sich deutschen Wasserwerken zuordnen. Zwei befinden sich in Bayern, eines davon in Neufahrn bei Freising, in unmittelbarer Nähe von München. Es versorgt täglich circa 80.000 Menschen mit Trinkwasser. Das zweite liegt im Landkreis Garmisch-Partenkirchen bei Uffingen am Staffelsee. Das dritte deutsche Wasserwerk befindet sich im Süden des Bundeslandes Niedersachsen in der Nähe der Kleinstadt Dassel.

Daten auslesen und Soll-Werte verändern, Maschinen manipulieren

Durch Zugriffe wie unseren lassen sich umfangreich Daten aus Sensoren auslesen, beispielsweise der Wasserverbrauch einer Stadt oder sonstige Werte einer Anlage. Diese können beispielsweise für Auslandsgeheimdienste oder Terroristen von Interesse sein. Zudem konnten im Einzelfall Soll-Werte verändert oder Statistiken des Wasserwerkes manipuliert werden. Mindestens in einem dieser Wasserwerke war auch ein Zugriff auf die Pumpanlagen möglich, speziell auf die Umdrehungen pro Minute. Im schlimmsten Fall ließe sich so die Wasserversorgung von ganzen Städten und Gemeinden unterbrechen.

Solche Daten können in ICS mit vollautomatischen Steuerungen zu folgenschweren Steuerungskommandos führen, die direkte Auswirkungen auf den eigentlichen Produktions- bzw. Steuerungsprozess haben. Im Rahmen unserer Tests wurde nur die theoretische Machbarkeit dieser Operationen aufgezeigt, es wurde nicht dauerhaft manipuliert. Die in diesem Artikel vorgestellten Applikationen sind allesamt nicht mehr über das Internet erreichbar und wurden durch die Betreiber gesichert.

Wie leichtfertig viele von ihnen zuvor mit der Sicherheit ihrer Anlagen umgingen, zeigt ein näherer Blick auf die Zugriffsmöglichkeiten bei den Wasserwerken.

Systeme und Menschen in Gefahr 

eye home zur Startseite
Bachsau 04. Okt 2016

Ich finde das Vorgehen grundfalsch, die Betroffenen nur kurz darauf hinzuweisen. Klar...

Atalanttore 12. Aug 2016

Die Namen der unwilligen Hersteller fehlerhafter Steuerungssoftware im Internet nennen...

Clokwork79 18. Jul 2016

...dann sind die Probleme gelöst *wegduck*

User_x 18. Jul 2016

Welche Gefahren gehen von euren Anlagen aus, falls diese Kompromittiert würden?

joypad 17. Jul 2016

kwt



Anzeige

Stellenmarkt
  1. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn
  2. Landeshauptstadt München, München
  3. über Ratbacher GmbH, München
  4. Daimler AG, Ulm


Anzeige
Hardware-Angebote
  1. 17,99€ statt 29,99€
  2. beim Kauf ausgewählter Gigabyte-Mainboards

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Smartphones

    iOS legt weltweit zu - außer in China und Deutschland

  2. Glasfaser

    Ewe steckt 1 Milliarde Euro in Fiber To The Home

  3. Nanotechnologie

    Mit Nanokristallen im Dunkeln sehen

  4. Angriff auf Verlinkung

    LG Hamburg fordert Prüfpflicht für kommerzielle Webseiten

  5. Managed-Exchange-Dienst

    Telekom-Cloud-Kunde konnte fremde Adressbücher einsehen

  6. Rockstar Games

    Spieleklassiker Bully für Mobile-Geräte erhältlich

  7. Crimson Relive Grafiktreiber

    AMD lässt seine Radeon-Karten chillen und streamen

  8. Layout Engine

    Facebook portiert CSS-Flexbox für native Apps

  9. Creators Update für Windows 10

    Microsoft wird neue Sicherheitsfunktionen bieten

  10. Landgericht Traunstein

    Postfach im Impressum einer Webseite nicht ausreichend



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gigaset Mobile Dock im Test: Das Smartphone wird DECT-fähig
Gigaset Mobile Dock im Test
Das Smartphone wird DECT-fähig

Civilization: Das Spiel mit der Geschichte
Civilization
Das Spiel mit der Geschichte
  1. Civilization 6 Globale Strategie mit DirectX 12
  2. Take 2 GTA 5 saust über die 70-Millionen-Marke
  3. Civilization 6 im Test Nachhilfestunde(n) beim Städtebau

Oculus Touch im Test: Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
Oculus Touch im Test
Tolle Tracking-Controller für begrenzte Roomscale-Erfahrung
  1. Microsoft Oculus Rift bekommt Kinomodus für Xbox One
  2. Gestensteuerung Oculus Touch erscheint im Dezember für 200 Euro
  3. Facebook Oculus zeigt drahtloses VR-Headset mit integriertem Tracking

  1. Re: Wo sind die Applehater...

    Niaxa | 21:08

  2. Re: normale Schraubendreher...

    Filius | 21:06

  3. Re: Was aufrüsten für WoW?

    Natz | 21:01

  4. Re: DSL-Community

    Ovaron | 20:59

  5. Re: Ja ist denn heut schon Weihnachten?

    teenriot* | 20:56


  1. 18:02

  2. 16:46

  3. 16:39

  4. 16:14

  5. 15:40

  6. 15:04

  7. 15:00

  8. 14:04


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel