Steuerung von Tiroler Seilbahn offen im Netz zugänglich

Der 2.246 Meter hohe Gipfel der Tuxer Alpen bietet mit dem Sender Patscherkofel auf der Spitze einen optimalen Orientierungspunkt. Von oben blickt man über Innsbruck bis ins Stubaital und Wipptal. Seit Dezember 2017 ist eine neue Gondelbahn in Betrieb, die von der Firma Doppelmayr gebaut wurde. Die „Patscherkofelbahn“ soll die Innsbrucker jetzt auch ab Mitte Mai in den Sommermonaten auf ihren Hausberg bringen.

Display der Steuerung

Die beiden Betreiber des Projekts internetwache.org Sebastian Neef und Tim Philipp Schäfers haben bei der Patscherkofelbahn im März allerdings ein Problem entdeckt, das aus ihrer Sicht höchst problematisch war. „Die Steuerung der Patscherkofelbahn war über ein Webinterface unverschlüsselt und ohne Notwendigkeit einer Authentifizierung über das Internet erreichbar. Darüber hinaus war die entsprechende Steuerungssoftware nicht auf dem neuesten Stand, sondern wies eine von uns gefundene und an den Hersteller gemeldete Schwachstelle auf“, erzählt Schäfers im Gespräch mit der futurezone.

Schäfers und Neef untersuchen freiwillig und ehrenamtlich im Netz Webseiten auf gängige Angriffsvektoren. Werden Mängel entdeckt, wenden sich die beiden vertraulich an die Betreiber. So auch bei der Patscherkofelbahn. Sie konnten die IP-Adresse dem Großbereich Innsbruck zuordnen. Schäfers hat in Folge das nationale Computer Emergency Response Team (CERT.at) darüber in Kenntnis gesetzt, dass man über das Human Machine Interface „wie ein Techniker vor Ort“ zugreifen könnte und zwar ohne Abfrage eines Benutzernamens oder Kennwortes.

„Eine entsprechende Überprüfung, welche Auswirkung ein Klick auf eine Schaltfläche innerhalb des Webinterfaces gehabt hätte, haben wir aber nicht, da ein solcher Zugriff nach geltendem Recht illegal und unserer Ansicht nach gefährlich wäre“, betont Schäfers.

Rasche Reaktion

Direkt am nächsten Werktag war das Problem laut Schäfers behoben. „Das zeigt, dass die Betreiber offensichtlich entsprechende Prozesse implementiert haben, um in solchen Fällen schnell zu reagieren“, so der Betreiber von internetwache.org, der auch als IT-Consultant tätig ist. Der Betreiber hat auf eine Anfrage von futurezone.at während eines Zeitfensters von 1,5 Wochen nicht reagiert. Die österreichische Hersteller-Firma Doppelmayr, von der auch das eingesetzte Human Machine Interface stammt, jedoch schon.

„Es hat nie ein Sicherheitsproblem gegeben“, sagt Ekkehard Assmann, Pressesprecher der Doppelmayr Seilbahnen GmbH. „Aber es war aufgrund eines Fehlers kurzzeitig möglich, auf den Schirm zuzugreifen und die Grafiken anzuschauen. Die Steuerung der Bahn war darüber aber nicht möglich.“ Es sei ein Port bei der Installation der Software irrtümlich offengeblieben, der Zugang sei sofort nach Bekanntwerden geschlossen worden. Der Zugriff auf das Display war allerdings auf jeden Fall seit mindestens 12. März möglich gewesen, wie aus dem Cache der Suchmaschine Shodan.io ersichtlich war. Gemeldet wurde die Lücke von internetwache.org am 16. März.

"Sicherheit nicht gefährdet"

„Das war ein Fehler unsererseits und wir haben das sofort geändert, als uns der Betreiber darüber informiert hat“, sagte Assmann. „Wichtig ist, dass die Sicherheit der Fahrgäste zu keinem Zeitpunkt gefährdet war.“ Dies haben die Betreiber von internetwache.org wie erwähnt nicht persönlich überprüft, weil es sich dabei um eine Straftat handeln würde.  

Schäfers und Neef haben in der Vergangenheit mehrfach auf Sicherheitsrisiken hinweisen. Sie haben in der Vergangenheit bereits Lücken in der Steuerung von mobilen Ampelanlagen, mehrerer Wasserwerke, Smart Towers und einer Klinik im Internet ausfindig gemacht. „In den meisten Fällen waren die Zugriffe komplett ungeschützt und hätten es jedem der einen Zugriff auf das Internet hat ermöglicht Zugriff auf entsprechende Anlagen zu nehmen“, so Schäfers, dem es wichtig ist, dass IT-Sicherheit von Betreibern ernst genommen wird.

„Das sind wichtige Grundvoraussetzungen, um die gesellschaftliche Akzeptanz und das Vertrauen in technische Neuerungen zu ermöglichen. Im Rahmen der digitalen Transformation und zunehmenden Vernetzung unserer Welt steigt das Maß der Abhängigkeit, die wir als Gesellschaft von solchen Geräten haben“, sagt der Gründer des Projekts.