IT-Sicherheit: Gewappnet für den Ernstfall

Krankenhäuser, Telekommunikation, Industrie: Unser Alltag ist abhängig von einer funktionierenden Stromversorgung. Das macht Kraftwerke zum lohnenden Ziel für Cyberangriffe. Die LEAG rüstet sich für den Ernstfall. An ihrer Seite:Forscher der Brandenburgischen Technischen Universität Cottbus-Senftenberg.

Ein Computerwurm befällt eine Atomanlage, in der mittels Zentrifugen Uran angereichert wird. Eingeschleust via USB-Stick manipuliert er dort Betriebsablaufe und sorgt dafür, dass sich die Zentrifugen scheinbar selbst zerstören. Was wie ein Szenario aus einem Hollywoodfilm klingt, wurde im Sommer 2010 Realität. Stuxnet – so tauften IT-Experten die Schadsoftware später – sabotierte ein weltweit eingesetztes Steuerungssystem der Firma Siemens, unter anderem in einem iranischen Kernkraftwerk. 

Der erste global dokumentierte Angriff mit einer Cyberwaffe ließ die Welt aufhorchen. Sabotage, nicht Spionage war das Ziel der Attacke, hinter der Medienberichten zufolge, der amerikanische und israelische Geheimdienst steckten. Der Vorfall skizzierte eine nach Science-Fiction klingende Zukunft der Kriegsführung. Statt zu Land, im Wasser oder in der Luft kämpfen künftig Cyberarmeen um die Kontrolle. Über militärische und gesellschaftliche Infrastrukturen wie Stromversorgung oder Verkehrssysteme. Oberhand behält dabei, wer systemkritische Anlagen an- und abschalten kann oder sie am besten vor Angriffen schützt.

Weckruf zum Handeln

Wenn Stuxnet etwas Gutes bewirkte, dann, dass er Politik und Wirtschaft aufgerüttelt hat. Bis dahin wurden solche Szenarien ja nur in Fachkreisen und im akademischen Umfeld besprochen. „Plötzlich waren auch Regierungen und Unternehmen zum Handeln gezwungen", erklärt Heiko Kanisch, der bei der LEAG für Projekte im Bereich Elektro- und Leittechnik in den  Kraftwerken verantwortlich ist. Tatsächlich hat die Entwicklung der IT-Sicherheit seitdem an Fahrt aufgenommen. So haben die USA und Deutschland Cyberarmeen ins Leben gerufen, und das Bundesamt für Sicherheit in der Informationstechnik (BSI), die nationale Behörde für Cybersicherheit, sucht zurzeit 180 neue Köpfe. Dass Verstärkung gebraucht wird, hängt auch mit dem 2015 verabschiedeten IT-Sicherheitsgesetz  zusammen. Ein Gesetz, das Betreiber kritischer Infrastrukturen zur Umsetzung von Mindeststandards und zur Meldung von IT-Sicherheitsvorfällen an das BSI verpflichtet. Zu diesen Betreibern zählen Organisationen oder Einrichtungen mit wichtiger Bedeutung für das Gemeinwesen, deren Beeinträchtigung oder Ausfall zu Versorgungsengpässen, Störungen der öffentlichen Sicherheit oder zu anderen dramatischen Szenarien führen würde. Auch die LEAG-Kraftwerke gehören dazu. In der Lausitz wurde jedoch nicht auf die Verabschiedung des Gesetzes gewartet.

Maßgeschneiderte Lösungen

Stattdessen ermittelten Kanisch und seine Kollegen bereits 2012 den Stand der Sicherheit im Kraftwerk Boxberg und erstellten anschließend einen Maßnahmenkatalog. Darin enthalten: der Aufbau eines Prozessdatennetzes (PDN), das eine Fernwartung   durch Authentifizierung und verschlüsselten Datenverkehr möglich macht.  Ein weiteres - nicht zu unterschätzendes - Feature: der sichere Datenaustausch. „Stuxnet wurde über einen verseuchten USB-Stick eingeschleust", erklärt Daniel Drews, der für den Aufbau des PDN mitverantwortlich ist.

Prozess-IT und Büro-IT voneinander zu trennen, um damit Berührungs- und Angriffspunkte zu minimieren, ist jedoch nur ein Ansatz im Kampf gegen virtuelle Bedrohungen. Zusammen mit dem Fachgebiet  Rechnernetze und Kommunikationssysteme der Brandenburgischen Technischen Universität (BTU) Cottbus- Senftenberg arbeiten die LEAG-Fachleute an einem Einbruchserkennungssystem (INDI, s. lnfokasten), das auf die Besonderheiten von Industrieanlagen ausgerichtet ist.

„Wenn sich mein PC zu Hause aufhängt, hole ich mir einen Kaffee – in einem Kraftwerk diktiert dagegen die Physik den Spielraum für das Leitsystem – Hier gibt es keinen großen Toleranzrahmen, denn schon bei unzulässigen Abweichungen von wenigen Sekunden, zum Beispiel bei der Drehzahlüberwachung der Turbine, greifen  die Schutzmechanismen und die Anlage fährt in den sicheren Zustand“, so Kanisch.

Systeme, welche die Prozesssteuerung eines Kraftwerks schützen sollen, müssen also in Echtzeit agieren, ohne die empfindlichen Steuerungsanlagen zu beeinträchtigen oder durch Fehlalarme außer Kraft zu setzen.

Der Mensch als Sicherheitslücke

Parallel zu den Forschungskooperationen mit der BTU Cottbus-Senftenberg wird die Zertifizierung der IT-Sicherheit der LEAG-Kraftwerksanlagen nach internationaler Norm vorbereitet. Dafür wird ein Managementsystem für lnformationssicherheit (ISMS) eingeführt. Wie der TÜV beim Auto, soll das ISMS die lnformationssicherheit der Anlagen starken, indem es Regeln definiert, die umgesetzt und koordiniert werden. Eine zentrale Aufgabe kommt dabei der Schulung der Mitarbeiter und ihrer Sensibilisierung zu – nicht ohne Grund:

Auch bei Stuxnet spielte Unachtsamkeit den Saboteuren in die Hände: So gelangte der verseuchte USB-Stick wahrscheinlich bei Wartungsarbeiten in die Atomanlage. Später trug ihn ein ahnungsloser Ingenieur in die Welt – weil er seinen infizierten Computer ans Internet anschloss und damit die Büchse der Pandora öffnete.

Diese und noch viele weitere Geschichten sind in der Carbon, unserem Magazin, erschien. Das Magazin gibt es auch online. Schauen Sie rein.

Übrigens: Kurz vor Ostern erscheint die dritte Ausgabe. Seien Sie gespannt!