Sichere Prozessnetzwerke für Energieversorger Kritische Infrastrukturen vor Hackern schützen

Um zum intelligenten Stromnetz zu werden, erfordert das Smart Grid den zunehmenden Einsatz von IP-basierter Informationstechnik. Das birgt Gefahren: Die Prozessnetzwerke von Energieversorgern sind zunehmend mit Cyber-Kriminalität konfrontiert. Gefragt ist deshalb eine gut konzeptionierte Sicherheitsarchitektur.

Anbieter zum Thema

Arvato Systems

Security-Insider

SEPPmail - Deutschland GmbH

Für die intelligenten Energienetze von heute – so genannte Smart Grids – ist die Informationstechnik die Voraussetzung. So wurde die Trennung von Netzbetrieb und Energievertrieb durch moderne, IP-basierte IT- und Telekommunikationssysteme überhaupt erst möglich.

Im Moment ist es vor allem die Energiewende, die den Einsatz von Informations- und Kommunikationstechnologie (IKT) in der Branche weiter vorantreibt. So nutzen beispielsweise Netzbetreiber das Internet, um die Einspeisung von EEG-Anlagen (Erneuerbare-Energien-Gesetz) wie Windkraftwerke zu steuern, da diese Verbindung aus Kostengründen für sie sehr attraktiv ist. Für die Prozessnetzwerke der Energieversorger bringt diese Öffnung nach außen neue Bedrohungen mit sich.

Die vom Bundesamt für Sicherheit in der Informationstechnologie (BSI) als „Kritische Infrastrukturen“ eingestuften Netzwerke sind der Gefahr von Cyber-Angriffen ausgesetzt. Dass Energieversorger ganz besonders im Visier von Hackern sind, zeigt auch eine aktuelle Untersuchung des Ponemon Institute. Die Studie „Cost of Cyber Crime“ kommt zu dem Ergebnis, dass Energie und Versorgung der Bereich ist, dem in Deutschland im Jahr 2013 gemessen an den Kosten der höchste Schaden durch Cyber-Kriminalität entstanden ist.

Welche Folgen solche Angriffe haben können, zeigen zwei Fälle aus der jüngeren Vergangenheit. Im April 2014 beauftragten die Stadtwerke Ettlingen im Landkreis Karlsruhe einen professionellen Hacker damit, Schwachstellen in ihrem IT-Netzwerk aufzudecken. Ergebnis: In nur zwei Tagen gelang es ihm, die Kontrolle über die Leitwarte zu übernehmen. Mit nur wenigen Mausklicks hätte er so in der Stadt den Strom abstellen können – 40.000 Einwohner wären davon betroffen gewesen.

Kein Test sondern ein Ernstfall war dagegen, was eine IT-Sicherheitsfirma Ende Juni 2014 aufdeckte: Eine Hacker-Gruppe, die auf breiter Front die westliche Energiewirtschaft im Visier hat. Mit Hilfe von Schadsoftware, so die Sicherheitsfirma, sei es der Gruppe auch bereits gelungen Infrastruktur zu sabotieren. So sei sie in der Lage gewesen, die Energieversorgung in mehreren europäischen Ländern erheblich zu stören. Die Schadsoftware wurde zwar nach ihrer Entdeckung neutralisiert, dennoch könnten die Hacker nach wie vor im Besitz wichtiger Passwörter sein.

Vorgaben für sichere Prozessnetzwerke

Es verwundert kaum, dass sich die Bedrohungen für Prozessnetzwerke auch in diversen Sicherheitsnormen, -gesetzen und -empfehlungen niederschlagen, die in jüngster Vergangenheit entstanden sind und derzeit noch entstehen. Dazu zählt etwa der Entwurf für ein neues IT-Sicherheitsgesetz, der unter anderem Anforderungen an den Schutz Kritischer Infrastrukturen enthält.

Ebenfalls als Entwurf liegt der IT-Sicherheitskatalog der Bundesnetzagentur vor, der die Einführung eines Informationssicherheits-Management-Systems gemäß der nationalen und internationalen Normen ISO/IEC 27002 und ISO/IEC TR 27019 vorsieht. Darüber hinaus hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit dem "ICS Security Kompendium" ein Grundlagenwerk für die IT-Sicherheit in Automatisierungs-, Prozesssteuerungs- und Prozessleitsystemen (Industrial Control Systems) veröffentlicht.

Zentrale Leitlinie für den Schutz von Prozessnetzwerken in der Energiebranche ist derzeit das Whitepaper „Anforderungen an sichere Steuerungs- und Telekommunikationssysteme„ des BDEW (Bundesverband der Energie- und Wasserwirtschaft). Es fasst die aktuellen Notwendigkeiten zusammen und leitet daraus Vorgaben für das Design sicherer Prozessnetzwerke ab. Dazu wurden drei wesentliche Grundsätze herausgearbeitet:

1. Minimal-Need-To-Know-Prinzip: „Jede Komponente und jeder Benutzer erhält nur die Rechte, die für die Ausführung einer Aktion nötig sind. So werden z.B. Anwendungen und Netzwerk-Dienste nicht mit Administratorprivilegien, sondern nur mit den minimal nötigen Systemrechten betrieben.“ Dasselbe ergibt sich aus dem Prinzip auch für Firewall-Regeln: Source, Destination und Ports sind granular einzutragen. Außerdem müssen komplette Netzwerkfreigaben genauer betrachtet und ihre Risiken bewertet werden.

2. Defence-In-Depth-Prinzip: „Sicherheitsrisiken werden nicht durch einzelne Schutzmaßnahmen angegangen, sondern durch die Implementierung gestaffelter, auf mehreren Ebenen ansetzender und sich ergänzender Sicherheitsmaßnahmen begrenzt.“ Aus diesem wichtigsten der drei Prinzipien ergibt sich die Anforderung, das Prozessnetzwerk in Sicherheitszonen einzuteilen.

3. Redundanz-Prinzip: „Das System ist so ausgelegt, dass der Ausfall einzelner Komponenten die sicherheitsrelevanten Funktionen nicht beeinträchtigt. Das Systemdesign verringert die

Wahrscheinlichkeit und die Auswirkungen von Problemen, die durch das uneingeschränkte Anfordern von Systemressourcen wie z.B. Arbeitsspeicher oder Netzwerkbandbreite entstehen (sog. Resource-Consumption- oder DoS-Angriffe).

Schutzbedarf der Informationen bewerten

Um in ihren Prozessnetzwerken die Vorgaben des BDEW erfüllen zu können, sollten Energieversorger eine umfassende und detaillierte Risikobetrachtung durchführen. Eine wertvolle Hilfe kann dabei ein spezialisierter IT-Dienstleister bieten. Dabei werden zunächst eine IT-Landkarte erstellt, sämtliche Betriebsabläufe wie zum Beispiel Schaltbefehle, Parameteränderungen oder Firmware-Updates unter die Lupe genommen, und der Schutzbedarf der von ihnen genutzten Informationen nach drei wesentlichen Gesichtspunkten bewertet:

• Vertraulichkeit. Wie problematisch wäre eine Veröffentlichung der Daten?

• Integrität. Wie gefährlich wäre eine Verfälschung der Informationen? Liefert beispielsweise eine EEG-Anlage fehlerhafte Werte an die Leitstelle, führt dies zu falschen Schaltungen, was wiederum schwere Auswirkungen wie Netzschwankungen haben kann.

• Verfügbarkeit. Wie kritisch wäre es, wenn die Daten nicht zur Verfügung stehen? Bei größeren Anlagen etwa benötigt die Leitstelle unbedingt bestimmte Daten, um Strom zu- oder abschalten zu können.

Die so ermittelten Kritikalitäten müssen dann noch mit einer Bedrohungspotenzial-Bewertung hinsichtlich der Eintrittswahrscheinlichkeit kombiniert werden, um das benötigte Sicherheitsniveau für die jeweiligen Betriebsabläufe beziehungsweise deren Informationen feststellen zu können.

Daraus wiederum lässt sich dann ein passgenaues Security-Design ableiten, das gezielte Schutzmaßnahmen in das Prozessnetzwerk einbaut. Dazu zählen etwa eine zentrale Überwachung, physikalischer Schutz, eine Whitelist, Vorkehrungen für Authentifizierung, Autorisierung und Accounting, Intrusion-Detection-Systeme, Verschlüsselungsmethoden, ein Event-Management oder ein Patch-Management.

Dabei sollte die Netzwerk-Architektur – so wie vom Defence-In-Depth-Prinzip gefordert - in verschiedene Zonen eingeteilt werden, die jeweils eigene Sicherheitsmaßnahmen aufweisen und durch Gateways getrennt sind. Eine solche Aufteilung sorgt für Übersichtlichkeit der Kommunikationswege und erhöht die Sicherheit durch mehrere Maßnahmen. Eventuelle Bypässe werden schnell erkannt, und es lassen sich Abschaltszenarien für den Notfall erarbeiten. So lässt sich beispielsweise ermitteln, welches Kabel gezogen werden muss, um einen erfolgten Cyber-Angriff sofort einzudämmen und Schlimmeres zu verhindern.

Besondere Vorkehrungen benötigen die im freien Feld stehenden Schaltschränke von EEG-Anlagen. Um Schutz vor Kriminellen zu bieten, müssen sie zusätzlich zu den logischen auch mit physischen Schutzmaßnahmen ausgestattet werden. Dabei sollten die Hürden für einen Einbruch so hoch wie möglich gesetzt werden. Deshalb empfiehlt es sich, hier so viele Maßnahmen wie wirtschaftlich vertretbar sind, einzusetzen.

Erweiterte Meldepflicht für Energieversorger

Zu den gesetzlichen Auflagen für Energieversorger könnte auch bald eine erweiterte Meldepflicht zählen. So enthält der Entwurf des neuen IT-Sicherheitsgesetzes Regelungen für Unternehmen, die von einem Cyber-Angriff betroffen sind – darunter die Vorschrift, schwerwiegende Vorfälle zu melden. Zu den Branchen, für die diese Pflicht bindend sein soll, zählt unter anderem das Energiewesen.

Angesichts der Bedeutung dieses Themas sind für die Zukunft umfassende Auswertungs-Tools, wie beispielweise SIEM-Lösungen (Security Information and Event Management) zu erwarten. Erste wirkungsvolle Ansätze eines solchen Systems können aber bereits heute mit ganz konventionellen Mitteln realisiert werden – so wie dies beispielsweise prego services in einem aktuellen Projekt getan hat.

Auf Basis von Syslog-Filtern werden E-Mails und SMS-Benachrichtigungen erzeugt, die die Zentrale über relevante Ereignisse informieren. Erfährt die Leitstelle auf diesem Weg beispielsweise, dass der Türöffner eines Schaltschranks aufgebrochen wurde und treten zusätzliche Indizien, Alarme oder Ereignisse auf, ist die Wahrscheinlichkeit, dass es sich um einen Sicherheitsvorfall handelt, sehr hoch.

So viel zu den technischen Möglichkeiten. Wie immer beim Thema IT-Sicherheit gilt aber auch beim Schutz von Prozessnetzwerken: Die Technik ist nur die halbe Miete, denn genauso wichtig sind die Mitarbeiter. Ein Sicherheitskonzept steht und fällt mit seiner Umsetzung durch alle Beteiligten.

Vor allem wenn die Anwender einbezogen werden, erhöht sich der Schutz vor Angriffen um ein Vielfaches. Deshalb sollten Energieversorger ihre Mitarbeiter unbedingt dafür sensibilisieren, mögliche Bedrohungen zu erkennen und den Folgen von Angriffen vorzubeugen.

Peter Schreieck

(ID:43034329)