Abo
  • Services:

Systeme und Menschen in Gefahr

Bei fast allen von uns gefundenen Wasserwerken war es möglich, Störungsmeldungen ohne besondere Authentifizierung zu quittieren, also mögliche Alarme auszuschalten. Einer der Betreiber schien es sich zudem besonders bequem zu machen, indem er mögliche Meldungen durch eine Zeitsteuerung automatisch morgendlich löschen ließ.

  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Auch ein Blockheizkraftwerk fanden wir ungeschützt im Internet. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Bei einer Ferienwohnung in Österreich konnten wir die Temperatur und andere Einstellungen verändern. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
  • Und bei einem Smart Tower in Isarel war die gesamte Elektronik aus der Ferne steuerbar. (Screenshot: Golem.de)
Die Steuerungsanlage eines Wasserwerks lässt sich manipulieren. (Screeenshot: Golem.de)
Stellenmarkt
  1. Nagel-Group | Kraftverkehr Nagel SE & Co. KG, Versmold
  2. abilex GmbH, Stuttgart

Die Steuerung des vierten gefundenen Wasserwerks ließ sich einer Gemeinde in Nord-Italien zuordnen. In Italien (Rom) fand sich zudem ein Steuerungssystem für ein sogenanntes Fernheizwerk. Auch deutsche und österreichische Heiz-, Blockheizkraftwerke und sogar Biogasanlagen waren im Internet zugänglich.

Anfällig für DDoS-Angriffe

Diese Anlagen ließen meist nur den Lesezugriff zu oder benötigten eine Authentifizierung. Doch auch über den bloßen Zugriff können die Dienste bereits durch DoS- oder DDoS-Attacken überfordert werden, weshalb ICS immer abgeschirmt vom Internet betrieben werden sollten.

Im Darknet lassen sich sogenannte Botnetze anmieten. Sie sind ein Verbund ferngesteuerter Rechner, mit denen millionenfache Anfragen an Webserver gestellt werden können. Da HMIs von Scada-Systemen meist nur für den lokalen Betrieb und wenige Anfragen eingesetzt werden, ist davon auszugehen, dass eine Ressourcenauslastung der Server und damit eine Nicht-Erreichbarkeit des Dienstes mit diesem Mittel in kurzer Zeit möglich wäre.

Zudem war die verwendete Steuerungssoftware in früheren Versionen bereits anfällig für DoS-Angriffe. Wenn Betreiber also nicht regelmäßig die Version prüfen und updaten - und das war bei einigen Systemen der Fall, die bei der Untersuchung gefunden wurden -, wäre ein Angriff möglich, mit im Web frei verfügbaren Exploits. Ein solches Vorgehen hätte bei Industrieanlagen verheerende Folgen, denn Anlagen könnten entweder komplett funktionsunfähig, nicht mehr steuerbar oder darüber hinaus massiv beschädigt werden.

Gefahr für Menschen

"Die beschriebenen Fälle bergen erhebliche Gefahren, das darf so nicht passieren", sagte der Präsident des Bundesamts für Sicherheit in der Informationstechnik (BSI) Arne Schönbohm dem Spiegel. "Das ist, als wenn Sie die Tür zu Ihrem Haus sperrangelweit offen stehen lassen". Selbst wenn es bei einigen Betreibern nach dieser ersten Eintrittschwelle möglicherweise weitere Türen gegeben habe, handle es sich um "gefährlichen Leichtsinn". Bereits 2014 beschrieb das BSI in seinem Bericht zur IT-Sicherheitslage in Deutschland solche Gefahrenlagen. Damals gelang es unbekannten Angreifern, die Steuerung eines Hochofens in einem deutschen Stahlwerk in einen nicht mehr definierten Zustand zu bringen, so dass dieser notabgeschaltet werden musste.

In solchen Fällen und bei unseren aktuellen Funden ist nicht nur die bloße Sicherheit der vorhandenen Systeme und Anlagen gefährdet (Security), sondern auch die Sicherheit für Menschen oder Anlagen in der Umgebung (Safety). Was für Gefahren dabei entstehen und wie weitreichend der Eingriff digitaler Systeme in die reale Welt ist, das zeigt anschaulich die bis vor einige Wochen noch ungewollt im öffentlichen Internet erreichbare Gebäudesteuerung eines Smart Buildings in Israel.

Bei dem Tower handelt es sich um Millionenprojekt in Israel, in dem auch exklusive Luxuswohnungen zu mieten sind. Der Zugriff auf das System zur Gebäudeautomatisierung war unzureichend gesichert - vermutlich war die Firewall falsch konfiguriert - und innerhalb der Applikation gab es logische Fehler. So war der Zugriff auf Funktionen ohne Authentifizierung möglich, was es jedem Internetnutzer ermöglichte, sich innerhalb der Verwaltungssoftware einen Account anzulegen und diesem Administrationsrechte zu verleihen.

 Schwachstellen aufgedeckt: Der leichtfertige Umgang mit kritischen InfrastrukturenTotale Kontrolle über einen Tower voller Luxuswohnungen 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7. 6
  8. 7
  9. 8
  10. 9
  11.  


Anzeige
Blu-ray-Angebote
  1. (Prime Video)
  2. (u. a. The Equalizer Blu-ray, Hotel Transsilvanien 2 Blu-ray, Arrival Blu-ray, Die glorreichen 7...

Bachsau 04. Okt 2016

Ich finde das Vorgehen grundfalsch, die Betroffenen nur kurz darauf hinzuweisen. Klar...

Atalanttore 12. Aug 2016

Die Namen der unwilligen Hersteller fehlerhafter Steuerungssoftware im Internet nennen...

Clokwork79 18. Jul 2016

...dann sind die Probleme gelöst *wegduck*

User_x 18. Jul 2016

Welche Gefahren gehen von euren Anlagen aus, falls diese Kompromittiert würden?

joypad 17. Jul 2016

kwt


Folgen Sie uns
       


The Crew 2 - Fazit

The Crew 2 bietet zum Teil wahnwitzige Neuerungen, stolpert im Test aber trotzdem über alte Fehler.

The Crew 2 - Fazit Video aufrufen
IT-Jobs: Achtung! Agiler Coach gesucht?
IT-Jobs
Achtung! Agiler Coach gesucht?

Überall werden sie gesucht, um den digitalen Wandel voranzutreiben: agile Coaches. In den Jobbeschreibungen warten spannende Aufgaben, jedoch müssen Bewerber aufpassen, dass sie die richtigen Fragen stellen, wenn sie etwas bewegen möchten.
Von Marvin Engel

  1. Studitemps Einige Studierende verdienen in der IT unter Mindestlohn
  2. SAP-Berater Der coolste Job nach Tourismusmanager und Bierbrauer
  3. Digital Office Index 2018 Jeder zweite Beschäftigte sitzt am Computer

Russische Agenten angeklagt: Mit Bitcoin und CCleaner gegen Hillary Clinton
Russische Agenten angeklagt
Mit Bitcoin und CCleaner gegen Hillary Clinton

Die US-Justiz hat zwölf russische Agenten wegen des Hacks im US-Präsidentschaftswahlkampf angeklagt. Die Anklageschrift nennt viele technische Details und erhebt auch Vorwürfe gegen das Enthüllungsportal Wikileaks.

  1. Fancy Bear Microsoft verhindert neue Phishing-Angriffe auf US-Politiker
  2. Nach Gipfeltreffen Trump glaubt Putin mehr als US-Geheimdiensten
  3. US Space Force Planlos im Weltraum

Stromversorgung: Das Märchen vom Blackout durch Elektroautos
Stromversorgung
Das Märchen vom Blackout durch Elektroautos

Die massenhafte Verbreitung von Elektroautos stellt das Stromnetz vor neue Herausforderungen. Doch verschiedenen Untersuchungen zufolge sind diese längst nicht so gravierend, wie von Kritikern befürchtet.
Ein Bericht von Friedhelm Greis

  1. Elektromobilität iEV X ist ein Ausziehelektroauto
  2. Elektroautos Bundesrechnungshof hält Kaufprämie für unwirksam
  3. Ladekabel Startup Ubitricity gewinnt Klimaschutzpreis in New York

    •  /