Jüngste Angriffe auf Wasserversorgungsunternehmen zeigen, warum die OT-Sicherheit nicht länger warten kann.

Jüngste Angriffe im Wassersektor zeigen, warum die OT-Sicherheit nicht länger warten kann.

Kritische Infrastruktur Die Wasserversorgung hat sich still und leise zu einem der umkämpftesten Bereiche der Cybersicherheit entwickelt, und dieser Sommer hat dies deutlich gemacht. Eine Welle von Cyberangriffen, die weithin mit dem Iran in Verbindung gebracht wird, obwohl sie nicht offiziell bestätigt wurde, traf die Betriebstechnik von Wasserversorgungsunternehmen in mehr als einem Dutzend US-Bundesstaaten. Angreifer drangen in internetfähige speicherprogrammierbare Steuerungen (SPS) ein – die kleinen Industriecomputer, die Ventile öffnen, Pumpen betreiben und den Wasserdruck konstant halten – und sperrten in mehreren Fällen die Bediener aus oder zwangen die Versorgungsunternehmen zur manuellen Steuerung. Es wurde kein Trinkwasser verunreinigt, und die meisten Störungen konnten innerhalb weniger Stunden behoben werden. Doch die Angriffe unterstrichen etwas, vor dem der Wassersektor seit Jahren gewarnt wird: Betriebstechnik, die Jahrzehnte vor dem Aufkommen moderner Cybersicherheitspraktiken entwickelt wurde, gerät nun ins Visier staatlicher Akteure.

Ich habe mich mit Nick Tausek, Lead Solutions Architect bei Swimlane, zusammengesetzt, um darüber zu sprechen, warum Wasserversorgungsunternehmen immer wieder auf dieser Liste landen, was tatsächlich nötig ist, um die Lücke zu schließen, und welche Rolle die Automatisierung bei einer Lösung spielt, die sich viele Versorgungsunternehmen sonst nicht leisten können.

Warum Wasserversorger immer wieder auf der Zielliste landen

“Es gibt einige Gründe, warum insbesondere Wasserversorgungsunternehmen ein so verlockendes Ziel für staatliche Akteure darstellen”, sagt Tausek.

• Der erste Punkt ist technischer Natur. Diese Systeme nutzen häufig ältere Betriebstechnologien, die vor den modernen Cybersicherheitsstandards entwickelt wurden. Die Standardempfehlungen von Sicherheitsteams – Multi-Faktor-Authentifizierung, sichere Passwörter, Netzwerksegmentierung, Prinzip der minimalen Berechtigungen – lassen sich oft nicht ohne Weiteres auf ältere OT-Hardware übertragen.
• Der zweite Grund ist wirtschaftlicher Natur. Ein Großteil der US-amerikanischen Wasserversorgungsunternehmen operiert in ländlichen Gebieten mit geringen Budgets. Viele gehen fälschlicherweise davon aus, dass sie für einen Angreifer zu klein sind, um von Interesse zu sein. Wie Tausek es formuliert: “Wenn ein Staat oder ein fähiger Cyberangreifer nach Zielen sucht, ist alles, was mit dem Internet verbunden ist, ein potenzielles Ziel.”
• Der dritte Grund ist der Einfluss. Wasserversorgungssysteme können schnell beschädigt und nur langsam repariert werden. Da wir alle Wasser benötigen, wird ein Wassermangel schneller zu einem Notfall als beispielsweise ein Datenleck.

5 Grundprinzipien zur Stärkung der Ergometer-Fähigkeiten, die niemand ignorieren sollte.

Auf die Frage, was er einem Wasserversorgungsunternehmen mit begrenztem Budget und veralteter Ausrüstung raten würde – was, wie er anmerkt, auf die meisten Wasserversorgungsunternehmen des Landes zutrifft –, erklärte Tausek fünf einfache Maßnahmen:

1. Trennen Sie OT- und IT-Netzwerke so weit wie möglich und verwenden Sie Jump-Boxen anstelle von direkten Verbindungen, um OT-Systeme zu erreichen, die nicht aktualisiert werden können.
2. OT-Geräte dürfen niemals dem öffentlichen Internet ausgesetzt werden. Insbesondere SPSen dürfen unter keinen Umständen über das offene Internet erreichbar oder zugänglich sein.
3. Ändern Sie überall die Standardpasswörter. Es ist eine Kleinigkeit, die branchenweit immer wieder vernachlässigt wird.
4. Setzen Sie Multi-Faktor-Authentifizierung und das Prinzip der minimalen Berechtigungen überall dort ein, wo die Geräte dies zulassen.
5. Speziell für SPSen gilt: Platzieren Sie diese hinter Firewalls und Gateways mit aktuellen ACLs, verwenden Sie nach Möglichkeit Zero-Trust-Netzwerkzugriff, überprüfen Sie die Konfigurationen regelmäßig auf unautorisierte Änderungen und ersetzen Sie veraltete Geräte, sobald das Budget es zulässt.

Das sind keine exotischen Ratschläge. Das Problem liegt nicht im Wissen, sondern in der Umsetzung.

Wo die Hygiene an ihre Grenzen stößt

Hier liegt das Problem: Ein Unternehmen kann alle Punkte auf dieser Liste beachten und trotzdem gehackt werden, denn Segmentierung und Passworthygiene beantworten nicht die Frage, die tatsächlich darüber entscheidet, wie schlimm ein Vorfall wird: Was passiert in der ersten Stunde, nachdem man davon erfahren hat?.

Das ist üblicherweise ein dokumentierter Prozess mit mehreren Dutzend Schritten: das betroffene Gerät isolieren, entscheiden, ob auf ein Backup umgeschaltet werden soll, die Genehmigung der zuständigen Personen einholen, Beweise sichern und schließlich einem Prüfer oder einer Aufsichtsbehörde nachweisen, dass alles korrekt abgelaufen ist. Unter normalen Umständen ist das machbar. Mitten in einem akuten Vorfall, mit einem kleinen und wahrscheinlich überlasteten Team, ist es jedoch genau die Art von Prozess, bei der Menschen anfangen, Schritte zu überspringen.

Die Branche hat einen Begriff für die Kennzahl, die die Kosten dieser Lücke erfasst: Verweildauer – das Intervall zwischen dem Eindringen eines Angreifers und seiner tatsächlichen Entfernung. Je länger dieses Intervall ist, desto größer ist der Schaden und desto schwieriger wird es, sich sicher zu sein, dass eine Umgebung tatsächlich sicher ist. Viele Vorfälle, die als behoben gelten, erweisen sich – manchmal sogar ein Jahr später – als nie vollständig abgeschlossen.

Wo ein KI-gestütztes SOC eine der Antworten ist

Hier kommt die Automatisierung ins Spiel, nicht als Ersatz für Segmentierung und Datenbereinigung, sondern als eine Möglichkeit, die Lücke zu schließen Diese Maßnahmen lassen Raum für Spekulationen.

• Kodifizierte Spielregeln. Ein dreißigstufiger Isolations- und Failover-Prozess wird einmalig kodiert und jedes Mal auf dieselbe Weise ausgeführt, anstatt sich darauf zu verlassen, dass sich derjenige, der gerade Schicht hat, um 2 Uhr morgens noch richtig daran erinnert.
•  Fallmanagement mit Prüfprotokoll. Genehmigungen, Beweissammlung, Untersuchung von Warnmeldungen und Abhilfemaßnahmen sind in einem System integriert, das auch die Dokumentation erstellen kann, die ein Prüfer oder eine Aufsichtsbehörde gegebenenfalls anfordern wird.
• Integration des Audit-Tools. Anstatt einen weiteren Berg von Penetrationstest-Ergebnissen zu generieren, mit denen ein kleines Team nicht umgehen kann, kann eine KI-gestützte Automatisierungsschicht direkt mit den Tools interagieren, die die Versorgungsunternehmen bereits einsetzen, und unstrukturierte Ergebnisse in einen priorisierten, umsetzbaren Backlog umwandeln; genau das Problem, mit dem laut Tausek viele Wasserversorgungsunternehmen aufgrund ihrer veralteten Technologie konfrontiert sind.
• KI-beschleunigte Ermittlungen. Anstatt manuell ein Dutzend Tools durchsuchen zu müssen, um die Bedeutung einer Warnung zu überprüfen, kann KI diesen Kontext in wenigen Minuten zusammenführen und bestätigen, nicht nur annehmen, dass ein Angreifer vollständig verschwunden ist, sondern nicht nur ruhig.

Das von Tausek angeführte Ergebnis ist eine messbar kürzere Verweildauer und eine schnellere Behebung des Problems – die beiden Kennzahlen, die seiner Meinung nach am wichtigsten wären. Dies verändert den Ablauf eines solchen Vorfalls für ein Versorgungsunternehmen, das über diese Technologie verfügt, im Vergleich zu einem, das dies nicht tut.

Was kommt als Nächstes?

Tausek glaubt nicht, dass es sich hierbei um ein isoliertes Problem der Wasserversorgung handelt. “Unsere Angreifer setzen KI-gestützte Angriffe gegen alles ein, was mit dem Internet verbunden ist, nicht nur gegen Wasserversorger”, sagt er. Er geht davon aus, dass die Komplexität dieser Angriffe weiter zunimmt und dass Organisationen, die nie damit gerechnet haben, Ziel von Angriffen zu werden, immer wieder feststellen werden, dass sie es doch sind.  

Sein Schlusspunkt ist derjenige, über den es sich lohnt nachzudenken:

“Ob man nun in der IT oder der Betriebswirtschaft arbeitet, spielt keine Rolle; wer mit dem Internet verbunden ist, wird zum Ziel geopolitischer Akteure. Die Frage ist nur, ob man es merkt und ob man etwas dagegen unternehmen kann.”

Die Angriffe auf Wasserversorgungsunternehmen in diesem Sommer sind ein Vorbote eines Musters, das überall dort auftreten wird, wo Geräte mit dem Internet verbunden sind. Die Organisationen, die den nächsten Angriff am schnellsten überstehen, werden diejenigen sein, die bereits davon wissen. Wir haben bereits ein System, das darauf reagieren kann.

Häufig gestellte Fragen zur OT-Sicherheit

Wurde das Trinkwasser bei den Cyberangriffen auf die Wasserversorgungsunternehmen verunreinigt?

Nein. Bei der Angriffswelle, die diesen Sommer die Steuerungssysteme von Wasserversorgungsunternehmen in über einem Dutzend US-Bundesstaaten traf, wurde kein Trinkwasser verunreinigt, und die meisten Störungen konnten innerhalb weniger Stunden behoben werden. Die Angreifer verschafften sich Zugang zu internetfähigen speicherprogrammierbaren Steuerungen (SPS) und sperrten in einigen Fällen die Bediener von der Steuerung aus oder zwangen die Versorgungsunternehmen zum manuellen Betrieb, doch die Wasserversorgung selbst blieb sicher.

Was ist eine SPS (Speicherprogrammierbare Steuerung) und warum zielen Angreifer darauf ab?

Eine speicherprogrammierbare Steuerung (SPS) ist ein kleiner Industriecomputer, der die physikalischen Prozesse in einer Wasseraufbereitungsanlage steuert: Ventile öffnen, Pumpen betreiben und den Wasserdruck konstant halten. SPSen sind anfällig für Angriffe, da viele von ihnen mit dem Internet verbunden sind, auf Betriebstechnologien basieren, die vor dem Aufkommen moderner Cybersicherheitsstandards entwickelt wurden, und Angreifern nach einer Kompromittierung die direkte Kontrolle über die physische Infrastruktur ermöglichen.

Warum sind Wasserversorgungsunternehmen häufig Ziel von Cyberangriffen durch Nationalstaaten?

Laut Nick Tausek, Lead Solutions Architect bei Swimlane, sind Wasserversorgungsunternehmen aus drei Gründen im Visier von Cyberangriffen. Ihre Betriebstechnologie entspricht nicht den modernen Standards der Cybersicherheit. Viele Versorger gehen aufgrund ihrer geringen Budgets in ländlichen Gebieten fälschlicherweise davon aus, dass sich ein Angriff nicht lohnt – eine Annahme, die staatliche Akteure nicht teilen. Zudem lassen sich Wassersysteme zwar schnell kompromittieren, aber nur langsam reparieren, sodass die Auswirkungen rasch zu einem Notfall führen.

Was ist OT-Sicherheit und wie unterscheidet sie sich von IT-Sicherheit?

Die Sicherheit von Betriebstechnologien (OT) schützt Systeme, die physische Prozesse steuern, wie Pumpen, Ventile und industrielle Steuerungen. Die IT-Sicherheit hingegen schützt Computer, Netzwerke und Daten. OT-Hardware ist oft Jahrzehnte alt und wurde nicht von vornherein mit Blick auf Cybersicherheit entwickelt. Daher sind Standardpraktiken der IT wie Multi-Faktor-Authentifizierung (MFA) und das Prinzip der minimalen Berechtigungen nicht immer direkt anwendbar und müssen an die Gegebenheiten der Geräte angepasst werden.

Wie können Wasserversorgungsunternehmen ihre OT-Systeme gegen Angriffe schützen?

Tausek beschreibt fünf Schritte, die kein großes Budget erfordern. Trennen Sie OT- und IT-Netzwerke und verwenden Sie Jumper anstelle von Direktverbindungen. Setzen Sie OT-Geräte, insbesondere SPSen, niemals dem öffentlichen Internet aus. Ändern Sie Standardpasswörter. Implementieren Sie Multi-Faktor-Authentifizierung und das Prinzip der minimalen Berechtigungen, wo immer die Geräte dies zulassen. Und speziell für SPSen: Verwenden Sie Firewalls, Gateways, Zero-Trust-Netzwerkzugriff, führen Sie regelmäßige Konfigurationsüberprüfungen durch und ersetzen Sie veraltete Geräte, wenn möglich.

Was ist die Verweilzeit und warum ist sie bei Sicherheitsvorfällen in der OT-Umgebung von Bedeutung?

Die Verweildauer ist der Zeitraum zwischen dem Eindringen eines Angreifers in ein System und dessen tatsächlicher Entfernung. Je länger dieser Zeitraum ist, desto mehr Schaden kann ein Angreifer anrichten und desto schwieriger wird es, sicherzustellen, dass die Umgebung tatsächlich sicher ist. Manche Vorfälle, die als behoben gelten, stellen sich – manchmal sogar ein Jahr später – als nie vollständig abgeschlossen heraus.

Was ist ein KI-gestütztes SOC und wie trägt es dazu bei, die Sicherheitslücke im OT-Bereich zu schließen?

Ein KI-gestütztes Security Operations Center (SOC) standardisiert Vorgehensweisen für die Reaktion auf Sicherheitsvorfälle, verwaltet Fälle mit einem integrierten Prüfprotokoll, integriert sich in bereits vorhandene Prüfwerkzeuge und nutzt KI zur Untersuchung von Warnmeldungen und zur Bestätigung der Behebung. Swimlane nennt kürzere Verweilzeiten und schnellere Behebungszeiten als messbare Ergebnisse und schließt damit die Lücke, die Netzwerksegmentierung und Passwortsicherheit allein hinterlassen.

Ist dies nur ein Problem für Wasserversorgungsunternehmen oder betrifft es auch andere Branchen?

Es betrifft jede Organisation mit Internetanschluss. Tausek formuliert es so: “Ob IT oder OT – wer mit dem Internet verbunden ist, wird zum Ziel geopolitischer Akteure.” Er geht davon aus, dass KI-gesteuerte Angriffe in allen Sektoren, nicht nur in der Wasserwirtschaft, immer komplexer werden.