BSI-Sicherheitsbericht: Hacker beschädigen Hochofen in deutschem Stahlwerk

Das BSI registriert immer raffiniertere Angriffe auf IT-Systeme. Betroffen waren zuletzt auch Großkonzerne und Produktionsanlagen. Hochrangige Mitarbeiter fielen auf Phishing-Mails herein.

Artikel veröffentlicht am 17. Dezember 2014, 18:57 Uhr, Friedhelm Greis

Arbeiter im tschechischen Stahlwerk Trinec (Bild: Trinecké zelezarny)

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer Zunahme von Advanced Persistent Threats (APT) auf deutsche Unternehmen. "Dieses Hacking von schlecht gesicherten Unternehmensservern wird künftig weiter an Bedeutung gewinnen", heißt es im Lagebericht 2014 zur IT-Sicherheit in Deutschland, der am Mittwoch in Berlin vorgestellt wurde. So habe es bereits einen gezielten Angriff auf ein Stahlwerk gegeben, bei dem die Angreifer sich vom Büronetz aus sukzessive bis in die Produktionsnetze vorgearbeitet hätten.

Dem Bericht zufolge häuften sich die Ausfälle einzelner Steuerungskomponenten. Schließlich habe ein Hochofen nicht mehr geregelt heruntergefahren werden können und sich "in einem undefinierten Zustand" befunden. Die Anlage sei stark beschädigt worden.

700 kritische Schwachstellen entdeckt

Das BSI listet eine Vielzahl bekannter und neuerer Gefahren für Privatanwender, Behörden und Wirtschaft auf. Demnach gab es 2014 rund 700 kritische Schwachstellen in den meistverbreiteten Softwareprodukten. Bis Juli seien fünf Zero-Day-Exploits gezählt worden. Neben mehreren Fällen von millionenfachem Identitätsdiebstahl nennt das BSI die gravierenden Sicherheitslücken Heartbleed und Shellshock sowie die Schadprogramme Ebury/Windigo und Havex. Als Angreifer macht die Behörde Kriminelle, Nachrichtendienste, Hacktivisten und Innentäter aus.

Einen äußerst versierten Phishing-Angriff habe es dabei auf hochrangige Vertreter international tätiger Großunternehmen gegeben. Dabei wurden mit fingierten E-Mails die Mitarbeiter darüber informiert, dass infolge eines Updates im IT-System zur Personalverwaltung ein Verdacht auf Inkonsistenzen in einzelnen Datensätzen bestanden habe. Unter diesem Vorwand seien die Adressaten aufgefordert worden, die Kopie eines amtlichen Ausweises und die Bankverbindung ihres Gehaltskontos zu übermitteln. Die E-Mails in nahezu perfekter deutscher oder englischer Sprache enthielten dem BSI zufolge die Legende einer vollständigen Mailhistorie samt E-Mail-Headern mit authentischen Firmen-E-Mail-Adressen, um den Vorgang augenscheinlich zu legitimieren.

Fast nur Windows- und Android-Nutzer betroffen

Die in der gefälschten Historie genannten Mitarbeiter seien tatsächlich in den jeweiligen Personalabteilungen tätig gewesen. Daher seien einige der Mailempfänger der Aufforderung nachgekommen. Daraufhin wurden von den Angreifern postalisch mit gefälschten Unterschriften die Bankkonten der Betroffenen aufgelöst oder neue EC-Karten samt Pin an eine neue Adresse in China angefordert.

Dem Bericht zufolge liegt die Gesamtzahl der PC-basierten Schadprogrammvarianten bei mehr als 250 Millionen und steigt täglich um rund 300.000. In Deutschland gibt es demnach jeden Monat mindestens eine Million Infektionen, die in 95 Prozent der Fälle Windows-Nutzer beträfen. Es soll bereits mindestens drei Millionen Schadprogramme für Smartphones und Tablets geben. In 98 Prozent der Fälle sei davon Android betroffen.

Als Gegenmaßnahmen empfiehlt der Bericht vier Punkte. So soll die Kompetenz und Vertrauenswürdigkeit in der IT-Sicherheit gefördert werden und es mehr Standardisierung und Zertifizierung geben. Zudem fordert das BSI, sichere Techniken für Bürger und Unternehmen bereitzustellen. Damit verweist die Behörde jedoch auf das umstrittene De-Mail-Angebot, das bislang wenig angenommen wird. Zu guter Letzt müsse auch der Schutz kritischer Infrastrukturen gesichert werden. Dazu hat das Kabinett am Mittwoch den Entwurf eines IT-Sicherheitsgesetzes beschlossen.