Schlecht geschützte industrielle Steuerungssysteme gefährden Kritische Infrastrukturen

Tagtäglich stehen unzählige Unternehmen und Institutionen unter Beschuss durch Cyberkriminelle – in vielen Fällen, ohne dass sie es bemerken. Die Angriffe aus dem Netz haben in den vergangenen Jahren kontinuierlich zugenommen und mittlerweile sollte eigentlich jedem IT-Verantwortlichen klar sein, dass eine stabile Verteidigungslinie gegen Cyberkriminelle Pflicht ist. Welche Auswirkungen ein erfolgreicher Angriff auf Unternehmen der Kritischen Infrastruktur haben kann, war bei Colonial Pipeline zu beobachten. Nach einer Ransomware-Attacke brach die Kraftstoffversorgung in einigen Teilen der USA zusammen, was zu Panikkäufen und Benzinmangel führte. Am Ende gingen die Schäden weit über das ursprünglich attackierte Unternehmen hinaus. Dass es auch anders geht, zeigt der Angriff auf die Betreibergesellschaft des Hafens von Houston, Texas, denn hier gelang es, sich gegen die Eindringlinge zu verteidigen.
‍
Trotz solcher positiven Beispiele vernachlässigen leider immer noch viel zu viele Unternehmen den Schutz vor Cyberattacken sträflich – selbst im Bereich der Kritischen Infrastruktur. Das wird auch in einem Bericht deutlich, den Sicherheitsforscher von CloudSEK gerade veröffentlicht haben. Darin untersuchten sie industrielle Steuerungssysteme (ICS) mit Zugang zum Internet und deren Absicherung gegenüber Cyberangriffen auf Industrie-, Versorgungs- und Produktionsziele. Das Ergebnis: Zwar bieten die meisten ICSs ein gewisses Maß an eigenen Sicherheitsvorkehrungen, allerdings können die durch menschliche Eingriffe oder Fehler schnell ausgehebelt werden.
Einige der am häufigsten im Bericht erwähnten Probleme:

• schwache oder standardmäßige Anmeldeinformationen
• veraltete oder nicht gepatchte Software
• Daten- und Quellcodelecks
• Schatten-IT

Letzteres meint Prozesse oder Programme, die ohne das Wissen des offiziellen IT-Managements in einem Unternehmen existieren, beispielsweise weil ein Mitarbeiter unbedingt sein gewohntes Bildbearbeitungsprogramm nutzen möchte, das nicht von der Unternehmens-IT auf Sicherheitslücken überwacht wird.
‍
Für die aktuelle Studie hat CloudSEK auch einen Web-Scan auf der Suche nach verwundbaren ICSs durchgeführt und dabei hunderte angreifbare Schnittstellen gefunden. Vier der krassesten Fälle haben die Sicherheitsforscher dabei herausgegriffen und genauer beschrieben. So konnte bei einem indischen Wasserversorger mit den Standardanmeldeinformationen des Herstellers auf die Software zugegriffen werden, mit der die Wasserversorgung gesteuert wird. Angreifer hätten also die Zusammensetzung des Trinkwassers verändern oder ganze Stadtteile von den Leitungen abschneiden können. Auch die indische Regierung muss sich einige vermeidbare Sicherheitslücken vorwerfen lassen, denn die Sicherheitsforscher fanden eine Reihe von Zugangsdaten für Mailserver frei verfügbar auf der Plattform GitHub. Das Team von CloudSEK fand außerdem festcodierte Zugangsdaten der indischen Regierung auf einem Webserver, der Monitore für CCTV-Filmmaterial in verschiedenen Diensten und Bundesstaaten des Landes unterstützte. Bei einem Unternehmen, das darauf spezialisiert ist, Benzintransporter zu managen und zu überwachen, fanden die Sicherheitsforscher eine Schwachstelle, die es für SQL-Injection-Angriffe verwundbar machte. Außerdem waren Zugangsdaten für Admin-Konten in Klartext aufzufinden.
‍
Die Studie zeigt, dass es auch abseits von Ransomware und Phishing ganz reale Bedrohungen gibt, die man nicht außer Acht lassen sollte. Für Unternehmen bedeutet das, dass sie auch ihre industriellen Steuerungssysteme regelmäßig einem Check unterziehen müssen. Damit soll überprüft werden, ob sie auf dem neuesten Stand sind oder weitere Maßnahmen zur Abwehr von Hackern erforderlich sind.