Abo
  • Services:
Anzeige
Viele Windräder könnten ein IT-Security-Update vertragen.
Viele Windräder könnten ein IT-Security-Update vertragen. (Bild: Guillauma Souvant/Getty Images)

Auch sonstige IT-Infrastruktur ist verwundbar

Durch Portscans oder Shodan.io lässt sich herausfinden, dass einige der Anlagen unter derselben IP-Adresse und unter Angabe eines bestimmten Ports die Webpanel zur Administration von Routern zur Verfügung stellen. In einem Fall war der Router gänzlich ungeschützt vor Angreifern.

Denkbar wäre in einem solchen Fall beispielsweise, dass Angreifer den vorgesehenen Fernzugriff auf die Windanlage verhindern und Ransomware vom Betreiber für den Zugang erpressen. Das BSI erklärte auf Nachfrage von Golem.de: "Dem BSI sind keine Angriffe gegen Windkraftanlagen bekannt." Im Rahmen unserer Recherchen haben wir von Brancheninsidern allerdings erfahren, dass es solche Ransomware-Angriffe und ähnlich gelagerte Fälle bereits gab - in einigen Fällen wurde das Lösegeld bezahlt, damit die Anlage möglichst schnell wieder genutzt werden konnte.

Anzeige

Consumer-Hardware im Windpark

Bei einer anderen von uns aufgefundenen Anlage war ein Router des Modells Speedport W921V der Deutschen Telekom im Einsatz, der im vergangenen Jahr mutmaßlich auch der Schadsoftware Mirai zum Opfer gefallen ist. Der Fernzugriff auf die Administration und Überwachung dieser Anlage dürfte, als Mirai ihren Höhepunkt erreichte, zumindest über die Webapplikation, nicht möglich gewesen sein. Warum die Betreiber dieses Consumer-Produkt und nicht einen speziellen Industrierouter nutzen, ist offen. Doch verwundbare Router sind nicht das einzige Problem: Cyberkriminelle könnten auch unter Einsatz von Botnetzen gezielt DDoS-Attacken auf die Server der Windparks durchführen und würden so vermutlich einige Probleme verursachen. Meist sind diese Systeme von den Ressourcen her eher auf ein geringes Aufkommen an Anfragen ausgelegt. In einem solchen Fall wäre die Fernwartung mittels Webapplikation nicht möglich.

Was ist zu tun?

Für uns ist nach ausführlicher Beschäftigung mit dem Thema und den entsprechenden Systemen klar: Windparks gehören nicht mit solch vertraulichen Informationen in das öffentliche Internet, sondern sollten durch Site-2-Site-VPN-Lösungen unter dem Einsatz starker Verschlüsselung vom Internet abgeschirmt betrieben und fernadministriert werden.

Eine solche Lösung bietet auch der Hersteller Nordex an, offensichtlich sehen viele Betreiber jedoch davon ab, bei alten Anlagen Sicherheitspatches einzuspielen oder erneut in die Sicherheit der Infrastruktur zu investieren, vermutlich, um frühzeitig die Gewinnschwelle zu erreichen und somit das primäre Anliegen der Investoren zu befriedigen. Windparks haben Laufzeiten von bis zu 20 Jahren und kosten zunächst mehrere Millionen Euro.

Lösungen für einige der Probleme - Site-2-Site-VPN, sichere Verschlüsselung oder Sicherheitsupdates - könnten Anlagenbetreiber also problemlos von Nordex oder aus anderen Quellen beziehen, sie schrecken aber offenbar davor zurück - oder verfügen nicht über die notwendigen Kenntnisse, um die Probleme zu sehen. Konkrete Vorgaben für die IT-Sicherheit der Anlagen gibt es nach Aussage des BSI nicht, und auch die Abnehmer der Energie an den Handelsbörsen scheinen keine Vorgaben zu machen. Letztlich stehen die Besitzer der Anlagen also alleine da.

IT-Sicherheit wird nach wie vor nicht oder nur unzureichend in die Gesamtkalkulation eingepreist. Hier sollten gerade kleinere Betreiber von Windparks einen umfangreichen Empfehlungskatalog erhalten und zu entsprechenden Updates verpflichtet werden. Das bisherige undurchsichtige Netz aus Anlagenbetreibern, Eigentümern und den Herstellern der Anlagen verhindert oft eine klare Zuweisung der Verantwortlichkeit, was allerdings in der derzeitigen Form zum Schaden für die Allgemeinheit werden kann. Außerdem haben Behörden bislang offenbar wenig Durchgriffsrechte. Das BSI teilt auf Anfrage mit, dass erst "Anlagen zur Energieerzeugung ab 420 Megawatt" als kritische Infrastruktur definiert würden. Weiter heißt es: "Uns sind keine Gesetze bekannt, die die Einhaltung von IT-Sicherheitsstandards für Windkraftanlagen mit einer Nettonennleistung von unter 420 MW fordern."

Es ist unwahrscheinlich, dass wir die Ersten sind, die solche kritischen Systeme online aufgespürt haben. Gruppen und Dienste aus aller Welt werden ähnliche Vorgehen nutzen. Unsichere Verschlüsselung, veraltete Software und leicht erreichbare Systeme, die viele Informationen freigeben, ermöglichen ihnen dabei gezielte Angriffe - die es zu verhindern gilt, um ökonomische Schäden abzuwenden, aber auch, um das Funktionieren unserer Gesellschaft sicherzustellen und die Energiewende vor dem Scheitern zu bewahren.

Internetwache.org wurde 2012 von Sebastian Neef und Tim Philipp Schäfers gegründet und ist ein Projekt, das sich mit der Sicherheit von Webapplikationen und IT-Systemen beschäftigt. Im Rahmen verschiedener Untersuchungen konnten bereits gravierende Sicherheitslücken behoben und Verantwortliche ausgemacht werden.

 Zahlreiche weitere Sicherheitsrisiken

eye home zur Startseite
Trockenobst 12. Sep 2017

Der muss ja nicht Vollzeit dabei sein. Schon einfache Sachen wie VPNs...

Themenstart

Trockenobst 12. Sep 2017

Schon alleine einfaches Portknocking über mehrere Ports steigert die Security, solange...

Themenstart

StaTiC2206 12. Sep 2017

ich hab da schon je her Bauchschmerzen, wenn ich lese, dass kritische Infrastruktur für...

Themenstart

ElMario 12. Sep 2017

Jeder macht mal Fehler, Schwamm drüber...

Themenstart

ElMario 12. Sep 2017

Schliesslich sind wir das Neuland Internet !!!111³³³

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. Bosch Software Innovations GmbH, Berlin
  2. Landeshauptstadt München, München
  3. ARRK ENGINEERING, München
  4. BG-Phoenics GmbH, München


Anzeige
Blu-ray-Angebote
  1. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)

Folgen Sie uns
       


  1. Merged-Reality-Headset

    Intel stellt Project Alloy ein

  2. Teardown

    Glasrückseite des iPhone 8 kann zum Problem werden

  3. E-Mail

    Adobe veröffentlicht versehentlich privaten PGP-Key im Blog

  4. Die Woche im Video

    Schwachstellen, wohin man schaut

  5. UAV

    Matternet startet Drohnenlieferdienst in der Schweiz

  6. Joint Venture

    Microsoft und Facebook verlegen Seekabel mit 160 Terabit/s

  7. Remote Forensics

    BKA kann eigenen Staatstrojaner nicht einsetzen

  8. Datenbank

    Börsengang von MongoDB soll 100 Millionen US-Dollar bringen

  9. NH-L9a-AM4 und NH-L12S

    Noctua bringt Mini-ITX-Kühler für Ryzen

  10. Wegen Lieferproblemen

    Spekulationen über Aus für Opels Elektroauto Ampera-E



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Metroid Samus Returns im Kurztest: Rückkehr der gelenkigen Kopfgeldjägerin
Metroid Samus Returns im Kurztest
Rückkehr der gelenkigen Kopfgeldjägerin
  1. Doom, Wolfenstein, Minecraft Nintendo kriegt große Namen
  2. Nintendo Das NES Classic Mini kommt 2018 noch einmal auf den Markt
  3. Nintendo Mario verlegt keine Rohre mehr

Galaxy Note 8 im Test: Samsungs teure Dual-Kamera-Premiere
Galaxy Note 8 im Test
Samsungs teure Dual-Kamera-Premiere
  1. Galaxy S8 und Note 8 Bixby-Button lässt sich teilweise deaktivieren
  2. Videos Youtube bringt HDR auf Smartphones
  3. Galaxy Note 8 im Hands on Auch das Galaxy Note sieht jetzt doppelt - für 1.000 Euro

Zukunft des Autos: "Unsere Elektrofahrzeuge sollen typische Porsche sein"
Zukunft des Autos
"Unsere Elektrofahrzeuge sollen typische Porsche sein"
  1. Concept EQA Mercedes elektrifiziert die Kompaktklasse
  2. GLC F-Cell Mercedes stellt SUV mit Brennstoffzelle und Akku vor
  3. ID Crozz VW stellt elektrisches Crossover vor

  1. Re: Wie sicher sind solche Qi-Spulen vor Attacken?

    Icestorm | 14:38

  2. Re: und die anderen 9?

    DarkWildcard | 14:37

  3. Re: Vorher Diesel, jetzt E-Auto, das sind echt...

    matzems | 14:36

  4. Der starke Kleber

    Icestorm | 14:34

  5. Re: Absicht?

    Prinzeumel | 14:32


  1. 14:28

  2. 13:28

  3. 11:03

  4. 09:03

  5. 17:43

  6. 17:25

  7. 16:55

  8. 16:39


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel