Der iranisch Cyberangriff auf britischen Energieerzeuger wirft Fragen auf. Was genau vorgefallen ist, liegt derzeit noch im Dunkeln. Alle Informationen, die bislang an die Öffentlichkeit gelangt sind, stammen aus anonymen Quellen. Eine belastbare technische Analyse steht noch aus. Ein wichtiger Punkt ist jedoch bekannt: Die Auswirkungen auf das Stromnetz waren gering bis nicht vorhanden. Das dürfte auch einer der Gründe sein, warum sich die betroffene Anlage fünf Tage lang gefahrlos vom Netz nehmen ließ. Um wirklich fundiert einschätzen zu können, ob auch deutsche Energieerzeuger gefährdet sind, wissen wir bislang einfach noch zu wenig. Einiges lässt sich aber doch schon heute sagen, so Dr. Martin J. Krämer, CISO Advisor bei KnowBe4.
Können auch deutsche Energieproduzenten Ziel eines Angriffs werden?
Schon früher haben dem iranischen Regime nahestehende Akteure gezeigt, dass sie westliche OT-Systeme angreifen wollen und können. Nicht ohne Grund warnte die US-Behörde CISA in ihrem Advisory AA26-097A vom April dieses Jahres, aktualisiert im Juli, vor anhaltenden Attacken auf internetexponierte OT-Geräte der Marken Rockwell, Schneider Electric und Siemens.
Ich rechne damit, dass dem iranischen Regime nahestehende Akteure ihre Angriffe auf Länder der EU, die in ihrer Iran-Politik einen ähnlichen Kurs wie die USA und Großbritannien verfolgen, ausweiten werden. Da Deutschland iranische Diplomaten bereits ausgewiesen, da es dem iranischen Regime sogar Mordkomplotte zugeschrieben hat, ist es nicht unwahrscheinlich, dass auch der deutsche Energiesektor ins Visier der Angreifer geraten wird.
Deutsche Energieerzeuger nutzen dieselben internetexponierten OT-Steuerungssysteme, wie ihre britischen Pendants – haben also mit denselben technischen Risiken zu kämpfen. Hinzu kommt: die Auswahl der Opfer scheint keiner übergeordneten strategischen Zielplanung zu folgen, sondern den Suchergebnissen bei Shodan, einer speziellen Search-Engine für internetexponierte Geräte, die natürlich auch Endgeräte deutscher Stromproduzenten anzeigen kann.
Welche Sektoren und Bereiche sind am stärksten gefährdet?
Die bislang dokumentierten Fälle lassen vermuten, dass neben dem Energiesektor (gerade kleine, dezentrale Produzenten, die Sonne, Wind, Batteriespeicher und kleine Generatoren nutzen, ferngesteuert operieren und unterhalb der strengen Compliance-Schwellen liegen), vor allem der Wasser und Abwasser- und der staatliche Sektor sowie Fertigungsunternehmen, die die genannten SPS-Marken nutzen, gefährdet sind.
Sie alle sollten ihr Hauptaugenmerk auf diejenigen ihrer Bereiche legen, die am stärksten vernetzt sind, etwa kritische Lieferanten, Fernwartungsplattformen und Identitätsmanagementsysteme. Dies sind die wirklich kritischen Systeme, auf die es in diesem Zusammenhang ankommt.
Auf welche TTPs setzen die Angreifer und wie kann man sich am besten gegen sie schützen?
Die meisten dokumentierten TTPs in diesem Bereich sind eher gewöhnlicher Natur. Zu den gängigen Angriffsvektoren zählen internetexponierte SPS, Standard- oder schwache Zugangsdaten, kompromittierte VPN- und Fernzugriffswege und Lieferantenkonten. Exotische Zero-Day-Angriffe stehen, zumindest bislang, noch aus.
Ich würde mit meinen Schutzmaßnahmen dort ansetzen, wo sie die größte vorbeugende Wirkung entfalten können. Ich würde etwa: alle internetzugänglichen OT-Geräte aufspüren und ihnen den Internetzugang entziehen, alle Standardzugangsdaten und ungenutzten Lieferantenkonten ersetzen, den Fernzugriff mit MFA absichern, IT und OT voneinander trennen, das typische Verhalten von IT-Administratoren als Referenzlinie erfassen, um Anomalien zu erkennen und die Umsetzung meiner Isolations- und Wiederherstellungspläne trainieren.
Zu spekulieren, ob die Angreifer für ihren Angriff möglicherweise auch KI zum Einsatz gebracht haben, lohnt sich meiner Ansicht nach nicht. Dafür ist die gesicherte Faktenlage derzeit einfach noch zu dünn. Aber: Setzen Organisationen KI-Agenten ein, und das tun mittlerweile ja die meisten, gewinnen die eben genannten präventiven Sicherheitsmaßnahmen noch einmal zusätzlich an Bedeutung. Denn KI-Agenten sind nicht-menschliche Identitäten und müssen dementsprechend, genauso wie menschliche und traditionelle Maschinenidentitäten, abgesichert und geschützt werden – auch präventiv.
#KnowBe4
