Cyber-Resilienz stärken

Der vermutlich bekann­teste Cyber­angriff auf einen Energie­ver­sorger führte zu einer Unterbrechung der Strom­versorgung in Teilen der Ukraine im Dezember 2015. Verantwortlich war mutmasslich die Sandworm-Gruppe, die mit dem russischen Militär­nach­richten­dienst GRU in Verbindung gebracht wird [1]. Darüber hinaus gibt es zahlreiche weitere Beispiele für Angriffe auf kritische Infra­struk­turen: Der Beginn des russischen Überfalls auf die Ukraine im Februar 2022 wurde durch Cyber­angriffe gegen Terminals des Satel­liten­kommu­nikations­betrei­bers Viasat begleitet, die zu Kollateral­störungen bei einem deutschen Wind­park­betreiber führten. Im Mai 2021 wurde das Abrech­nungs­system des U.S.-amerika­nischen Pipe­line­betreibers Colonial Pipelines Opfer eines Ransom­ware-Angriffs. In der Folge unterbrach Colonial Pipelines den Betrieb wichtiger Öl- und Gas-Pipelines. Der regionale Energie­ver­sorger Enercity aus Hannover wurde im Herbst 2022 zum Ziel eines Angriffs, der zu Beein­träch­tigungen des Kunden­service und der Zahlungs­abwicklung sowie zum Abfluss personen­bezogener Kundendaten führte [2].

Schon vor Jahren haben Militärs und Nach­richten­dienste weltweit die Bedeutung des Cyberraums für ihre Aufgaben erfasst. Die Snowden-Leaks 2013 haben das Ausmass staatlich gelenkter offensiver Cyberaktivitäten zum ersten Mal ins Bewusstsein einer breiteren Öffentlichkeit gerückt. Seitdem hat sich die Cyberdomäne als Bestandteil der Geopolitik etabliert, und viele Staaten haben in ihren Armeen eigene offensive Cybereinheiten aufgebaut. So hat die Nato in Tallinn das Cooperative Cyber Defence Centre of Excellence (CCDCOE) aufgebaut, und aus China heraus betreiben sowohl die Armee als auch das Ministerium für Staatssicherheit weltweit Cyberspionage, die sich auch gegen Betreiber kritischer Infra­struk­turen richtet [3].

Vielschichtige Bedrohungslage

Der Krieg Russlands gegen die Ukraine hat Europa vor Augen geführt, wie abhängig Europas Wohlstand vom Zugang zu günstiger Energie ist. Der Umbau der Energie­wirtschaft ist eine strategische Entscheidung, die auch auf die zuneh­menden Unsicherheiten der geo­politi­schen Situation zurück­zuführen ist.

Ein Blick auf die politische Gross­wetter­lage zeigt, wie sehr sich die Welt im Umbruch befindet. China agiert konsequent entlang der strate­gischen Fünf­jahres­pläne und hat das Potenzial, ein neuer globaler Hegemon zu werden. Dazu projiziert es seine Machtansprüche nach innen und aussen, baut mit der Belt-and-Road-Initiative globale Infra­struk­turen auf und weitet seine militärische Präsenz in Afrika aus. Russland versucht mit allen Mitteln, ein panslawisches Grossreich aufzubauen und sieht sich an der Seite Chinas als Gegenspieler des Westens. Die USA sind im Inneren durch die Spaltung der Gesellschaft stark mit sich selbst beschäftigt. Gleichzeitig müssen sie die Nato im Osten stärken und im Pazifik China Paroli bieten. Indien und Pakistan treten auf der weltpolitischen Bühne immer selbst­bewusster auf und vertreten ihre eigenen wirtschaftlichen Interessen. Die Annä­herung zwischen dem Iran und Saudi-Arabien deutet auf eine funda­mentale Neu­ordnung im Mittleren und Nahen Osten hin. Wie Israel, einer der erfahrensten Cyber-Akteure, darauf reagieren wird, ist noch unklar. All diese Umbrüche und Verschiebungen führen zwangs­läufig zu Konflikten und Kriegen, in denen der Cyberraum in allen Phasen Schauplatz von staatlich gelenkten Angriffen und Aktionen ist.

Staatliche Angreifer kooperieren mit Kriminellen

Die etablierte Unter­scheidung von Angreifer­gruppen in staatlich gelenkte Spionage­gruppen, politisch motivierte Hacktivisten und Cyber­kriminelle verschwimmt zunehmend. Einerseits über­nehmen Kriminelle vermehrt die fort­geschrit­tenen Methoden und Werkzeuge staatlicher Akteure. Andererseits setzen Nach­richten­dienste manchmal auch Cyberkriminelle ein.

Ein eindrückliches Beispiel für diese Art der Kooperation ist im März 2023 [4] durch die Publikation vertraulicher Analysen bekannt geworden. Die Ver­öffent­lichung umfasst Hunderte Dokumente, die U.S.-amerikanische Nach­richten­dienste erstellt haben sollen. Die teilweise Echtheit der Dokumente wurde bestätigt; zugleich wurde durch eine unabhängige Recherche­gruppe nachgewiesen, dass ein Teil der Dokumente manipuliert wurde [5]. Laut den veröffentlichen Dokumenten hatte die russische Hack­tivisten­gruppe Zarya im Februar 2023 Zugriff auf die Steuerungs­technik einer Verteilstation eines unbenannten kanadischen Gas-Pipeline-Betreibers. Zarya bat laut der Veröffentlichung einen Offizier des russischen Inlandsnach­richten­dienstes FSB um weitere Instruktionen [6]. Staatliche Angreifer kooperieren aber auch mit regulären IT-Dienstleistern, wie eine andere Veröffent­lichung vertraulicher Infor­mationen durch einen russischen Whistleblower zeigt [7]. Der russische IT-Dienstleister Vulkan-NTC hat im Auftrag mehrerer russischer Nach­richten­dienste Angriffswerkzeuge entwickelt, die laut veröffent­lichten Schulungs­doku­menten auch gegen kritische Infra­struk­turen eingesetzt werden können. So wird in einem Schaubild der Schulungs­doku­mente das stillgelegte Kernkraftwerk Mühleberg gezeigt [8].

Diese Gemengelage aus Unsicher­heiten der geo­politi­schen Situation sowie Vermengung staatlicher und krimineller Cyberakteure, die in ihren Aktionen an keine Landes­grenzen oder Regionen gebunden sind, trifft auf der Gegenseite auf Infra­struk­turen, die ihrerseits zunehmend komplexer und immer umfassender vernetzt sind. Die lang praktizierte Trennung von IT (Information Technology) und OT (Operational Technology) wird zunehmend durchbrochen. Geografisch abgelegene Infra­struk­turen werden mittels Mobilfunk- und Satel­liten­anbin­dungen direkt mit dem Internet bzw. Cloud-Diensten verbunden, unter anderem, um übliche Software-Aktuali­sierungen durchführen zu können. Dadurch ergeben sich Infra­struk­turen mit deutlich erweiterter Angriffs­fläche und gestie­gener Verwund­barkeit.

Auf diese Infra­struk­turen wirken unter­schied­lichste Angriffe ein: von Über­last­angriffen über das direkte Eindringen durch verwun­dbare Systeme bis hin zu Phishing-Angriffen, die oftmals den Auftakt für Spionage oder Erpressung mit Ransomware bilden, und Angriffen, die Vertrauens­stel­lungen in den Lieferketten ausnutzen. Zusätzlich zu diesen Cyber­angriffen auf die Infra­struk­turen manipulieren staatliche Akteure mittels Desinfor­ma­tionen die öffentliche Meinung. Die Meinungs­mani­pulation war schon immer eine Methode, mit der staatliche Akteure ihren Interessen Vorschub geleistet haben. Die Allgegen­wär­tigkeit der sozialen Netzwerke mit ihren direkten, ungefil­terten Verbin­dungen und Inter­aktionen haben die Effektivität und Effizienz von Des­infor­mations­kam­pagnen jedoch in neue Höhen katapultiert.

Dass Des­infor­mations­kam­pagnen auch den Energiesektor betreffen, zeigen Beispiele rund um die deutschen Gasvorräte im Winter 2022/2023 und die Ermittlungen zur Explosion der Nord-Stream-Pipeline [9]. Die rasant voranschreitende Entwicklung der künstlichen Intelligenz, sowohl für die Generierung von Text als auch von Bild, Ton und Video, wird zu einer weiteren quantitativen und qualitativen Zunahme von Fake News führen.

Cyber-Resilienz koordiniert stärken

Betreiber kritischer Infra­struk­turen stehen den Cyber­angriffen jedoch nicht hilflos und auch nicht allein gegenüber. Eine geordnete Heran­gehens­weise, die Technik, Organisation und Strategie vereint, kann die Cyber-Resilienz, d. h. die Kombination aus Widerstandsfähigkeit gegen Cyber­angriffe und Wieder­herstel­lungs­fähigkeit nach erfolgreichen Angriffen, steigern.

Auf der strategischen Ebene ist zunächst die Erkenntnis bei Vorständen und Verwaltungsräten zu vermitteln, dass geopolitische Ereignisse ihr Echo im Cyberraum haben und die kontinuierliche Bewertung der Lage zu einer besseren Vorbereitung führen kann. Diese Erkenntnis muss dann in der gesamten Führung sowie in den Bereichen, die mit der Cyber­sicherheit beauftragt sind, verankert werden, damit notwendige Aktivitäten abgeleitet und in der Organisation etabliert werden können.

In der Organisation sind die Prozesse zur Bewältigung von Vorfällen und Krisen regelmässig zu prüfen und anzupassen. Tabletop-Übungen, die bestimmte Vorfalls-Szenarien nachstellen, haben sich als effektive Methode erwiesen, Schwachstellen in den eigenen Prozessen aufzudecken und gleichzeitig bei den Beteiligten Handlungssicherheit herzustellen. In unterschiedlichen Szenarien können Übungs­schwer­punkte von der Erkennung eines Vorfalls bis zur Wieder­herstellung des Normal­betriebes gesetzt werden.

Diejenigen Abteilungen, die mit der technischen Cyber­sicherheit betraut sind, müssen personell und finanziell so aufgestellt sein, dass sie über die nötigen Werkzeuge und Infor­mationen verfügen, um effektiv und effizient den Dreiklang aus Prävention, Erkennung und Behandlung von Vorfällen bewältigen zu können.

Die Kooperation und der regelmässige strukturierte Austausch von Erkennt­nis­sen und Erfah­rungen mit anderen Organi­sa­tionen können im Angriffs­fall zu einem ent­schei­denden Vorteil für alle werden. Dieser Austausch sollte sowohl die strategische als auch die technische Ebene umfassen. Im besten Fall lassen sich Synergien nutzen und Aufwände für jede einzelne Organi­sation reduzieren und gleichzeitig die Resilienz aller steigern. Dieser Austausch kann im Rahmen staatlicher Initiativen erfolgen [10], durch Branchen­initiativen wie dem EE-ISAC [11] oder auch in branchen­über­greifenden globalen Experten­vereini­gungen [12].

Beim Blick auf die Bedro­hungen darf vor allem der Daseins­zweck des Energie­sektors nicht in den Hintergrund geraten. Ziel aller Bemü­hungen muss es sein, die Versorgung der Bevölkerung und Wirtschaft mit Energie auf­recht­zu­erhalten. Sämtliche defensiven Cyber­aktivitäten der Versorger sind auf dieses Ziel hin auszurichten.

Referenzen

[1] Siehe auch: bulletin.ch/de/news-detail/cyberangriffe-auf-energieversorger.html
[2] www.enercity.de/presse/betrieb-und-baustellen/2022/it-stoerung
[3] EU-Warnung vor chinesischer Cyberspionage, cert.europa.eu/files/data/TLP-CLEAR-JointPublication-23-01.pdf
[4] www.bloomberg.com/news/articles/2023-04-10/what-to-know-about-alleged-us-classified-documents-leak-from-pentagon-on-ukraine
[5] www.bellingcat.com/news/2023/04/09/from-discord-to-4chan-the-improbable-journey-of-a-us-defence-leak
[6] zetter.substack.com/p/leaked-pentagon-document-claims-russian
[7] www.theguardian.com/technology/2023/mar/30/vulkan-files-leak-reveals-putins-global-and-domestic-cyberwarfare-tactics
[8] www.watson.ch/digital/schweiz/598263734-geleakte-dokumente-verraten-russische-plaene-fuer-cyberangriffe
[9] correctiv.org/faktencheck/2022/10/13/doch-die-deutschen-gasvorraete-reichen-laenger-als-bis-weihnachten;
correctiv.org/faktencheck/2022/11/02/explosionen-an-gaspipelines-leiter-der-nord-stream-ermittlungen-heisst-weder-erik-ollsen-noch-ist-er-tot
[10] Beispielhaft: www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Kooperationen/kooperationen_node.html
[11] Für die europäische Energiebranche zum Beispiel www.ee-isac.eu
[12] www.first.org

Anmerkung

Ursache für den im Einstiegsbild gezeigten Stromausfall in Kiew, Ukraine, war ein russischer Raketenangriff vom 23. November 2022, und keine Cyber-Attacke. Ein grossflächiger, durch eine Cyber-Attacke verursachter Stromausfall fand in der Ukraine am 23.  Dezember 2015 statt.