Claroty-Studie zeigt Schwachstellen auf: Industrieanlagen und KRITIS verstärkt durch Fernzugriffe angreifbar

ICS ist die Abkürzung für Industrial Control System, was zu Deutsch ein industrielles Kontrollsystem ist. Diese Steuerungen existieren bereits seit vielen Jahrzehnten. Es gibt verschiedene Kategorien von industriellen Kontrollsystemen. Besonders bekannt sind die speicherprogrammierbaren Steuerungen (SPS). Weitere Formen sind verteilte Steuerungssysteme (DCS) und Supervisory Control and Data Acquisition (SCADA)-Systeme. Die Aufgabe eines ICS ist es, Abläufe von wiederkehrenden Aufgaben für Maschinen zu speichern. Die Befehle sind im lokalen Speicher abgelegt und Teil dieses geschlossenen Systems. Zum Einsatz kommen industrielle Kontrollsysteme wie SPS oder SCADA vor allem in der automatisierten industriellen Fertigung. Auch KRITIS wie Kraftwerke, öl- und gasverarbeitende Betriebe oder die chemische Industrie setzen diese Systeme ein.

Die Entwicklung von ICS im Industrial Sector: von geschlossenen Systemen zu IIoT

ICS hat seine Ursprünge Industrial Sector. Die Industrie benötigte für die Automatisierung Systeme, die einfache und auch komplexere Aufgaben steuern. Ein gutes Beispiel sind Roboter in der Automobilindustrie. Bei der Montage von Fahrzeugkomponenten führen diese eine Reihe von Aufgaben durch, die immer wiederkehren. Dies kann beispielsweise eine dreistufige Montage eines Steckteils sein. Der Roboter greift ein Bauteil, schwenkt es zum Montageband und setzt es an der programmierten Stelle ein.

SPS und ähnliche industrielle Kontrollsysteme spielen ihre Stärke aus, wenn der Industrial Sector die Anforderungen an diese Abläufe anpasst. Dies ist zum Beispiel der Fall, wenn das Fahrzeugmodell aktualisiert wird oder wenn das Bauteil an einer anderen Stelle benötigt wird. Durch eine Aktualisierung der Speichersteuerung ist eine schnelle Anpassung der Programmierung möglich. So sind diese Systeme flexibel und übernehmen die Steuerung der Prozessautomatisierung. Die klassischen industriellen Kontrollsysteme wie SPS basieren auf einer eigenen proprietären Plattform. Sie verfügen über eine eigene Kommunikationsinfrastruktur. Ein Anschluss an das Internet ist nicht vorhanden, da entsprechende Schnittstellen fehlen.

Im Zuge von Industrie 4.0 findet nun eine vermehrte Vernetzung aller Bereiche der Industrie statt. Dies betrifft auch die industriellen Kontrollsysteme wie SPS und SCADA. Hier haben sich schnell Brückenlösungen etabliert, die als Schnittstelle zwischen den ICS und dem Netzwerk beziehungsweise dem Internet dienen. Auf diese Weise ist mit einfachen Mitteln eine Integration von Technik, die nicht mit IT-Netzwerken kompatibel ist, in eben diese Strukturen möglich. Dies wird allgemein als Vorteil und Weiterentwicklung betrachtet. So ist eine Überwachung, Steuerung und Anpassung von mit SPS oder SCADA automatisierten Bereichen nun remote über das Internet möglich. Verbundene Sensoren senden laufend aktuelle Daten und ein Zugriff auf die Speicherungen ist über das Internet möglich.

ICS-Schwachstellen sind Herausforderungen für die IT Security

Die grundlegende Problematik ist, dass ICS niemals dafür konzipiert wurde, in einem öffentlichen Netzwerk zu arbeiten. Durch die Integration in die Netzwerkstrukturen ist jedoch genau dies eingetreten. Aus diesem Grund verfügen die Systeme über keine eigene IT Security und keine Sicherheitskultur. In vielen Szenarien sind diese ICS-Komponenten in die Netzwerkstrukturen integriert, ohne dass sich jemand um diese Schwachstellen oder allgemein die IT-Sicherheit gekümmert hat.

Welche Auswirkungen dies in der Praxis hat, ist bereits mehrfach deutlich geworden: Beispielsweise im Iran im Herbst des Jahres 2010. Die Regierung gab damals bekannt, dass rund 30.000 Rechner im Land von einem Virus namens Stuxnet befallen sind. Bei Stuxnet handelt es sich um eine Sabotagesoftware, die gezielt S7-Anlagen von Siemens attackiert. SIMATIC S7 ist eine speicherprogrammierbare Steuerung, gehört also zur Klasse der ICS. Der Iran nutzte SIMATIC S7 unter anderem im Atomkraftwerk von Buschehr sowie für die Steuerung von Zentrifugen in der Urananreicherung. Über eine Software zur Steuerung der SIMATIC S7 bestand eine Netzwerkverbindung zu dem SPS. Auf diesen Weg infizierte Stuxnet die Systeme in den Atomanlagen des Iran. Dort manipulierte der Virus, entweder automatisch oder ferngesteuert von einem Hacker über einen Command&Control Server, die Geschwindigkeit der Zentrifugen. Außerdem war die Schadsoftware in der Lage, die Eingriffe in die Steuerung zu kaschieren. Dies sorgte für einen Ausfall beziehungsweise sogar die Zerstörung der Zentrifugen. Im Atomkraftwerk von Buschehr erlitt eine Reaktorkühlpumpe einen Schaden. Der Reaktor fiel durch diese Beschädigung eine Zeit lang aus.

Auch im Falle der Cyberattacke auf die Colonial Pipeline im Mai 2021 stand ICS aus dem Industrial Sector im Mittelpunkt. Das Ziel der Attacke waren computergestützte Geräte, wobei Colonial Pipeline keine genau Auskunft über die Art des Systems veröffentlichte. 45 Prozent der Treibstoffversorgung der gesamten Ostküste der USA war von einer auf die anderen Minute unterbrochen. Bereits innerhalb von wenigen Tagen kam es zu Hamsterkäufen, Treibstoffknappheit an Tankstellen und einer Preisexplosion.

Diese Beispiele machen zwei Punkte deutlich: Zum einen, wie anfällig solche Systeme durch diese ICS-Schwachstellen sind. Zum anderen, welche Schäden im Industrial Sector bei Angriffen entstehen. Damit ist die Gesamtsituation jedoch noch längst nicht komplett dargestellt. ICS übernehmen in vielen Situationen kritische Aufgaben. Das Beispiel aus dem iranischen Atomkraftwerk verdeutlicht auch hier die Gefahr der ICS-Schwachstellen. Anhand von Sensordaten steuert die Siemens SPS die Pumpenleistung des Atomkraftwerks. Ähnliche Funktionen übernehmen speicherprogrammierbare Steuerungen in Stromkraftwerken überall auf der Welt. Diese Pumpen sind zentrale Bauteile für den Betrieb und die Sicherheit der Anlage. Außerdem ist eine Abschaltung oder Trennung nicht direkt möglich. Ohne die automatische Steuerung und die Sensordaten, die das System liefert, ist eine Steuerung der Pumpen nicht mehr gewährleistet. Ein Atomkraftwerk beispielsweise benötigt jedoch selbst nach einer Notabschaltung ein funktionierendes Kühlsystem, um die Restwärme abzuführen. Auch hierfür wird die SPS benötigt. Ein Angriff auf solche Schwachstellen resultiert somit in der Abschaltung des Kraftwerks. Im schlimmsten Fall führt dies sogar zu einer Havarie mit entsprechenden Folgen für Mensch und Umwelt.

Bei genauerer Betrachtung dieser Schwachstellen und ihrer möglichen Auswirkungen ist es somit schon als fahrlässig zu bezeichnen, dass die ICS-Schwachstellen und Industrial Security bei vielen Unternehmen und KRITIS nicht ganz oben auf der Agenda stehen.