Städte auf Hackerangriffe kaum vorbereitet

Intelligente Infrastruktur, die auf Verkehrsstaus, schwankenden Energiebedarf und volle Mülltonnen automatisch reagiert, bietet Kriminellen enormes Angriffspotenzial, um Chaos und Zerstörung in einer Stadt zu verursachen. Zu diesem Schluss kam der Sicherheitsforscher Cesar Cerrudo von IOActive Labs in seinem Vortrag auf der RSA-Sicherheitskonferenz in San Francisco.

Hersteller ahnungslos

„Viele Regierungen implementieren derzeit Systeme, ohne Sicherheitsüberprüfungen durchzuführen. Auch die Hersteller haben in puncto Sicherheit meist keine Ahnung bzw. ist ihnen die Thematik einfach egal“, kritisiert Cerrudo. Im Gegensatz zu Servern, PCs und etablierter Netzwerktechnologie würde es für viele Smart-City-Produktkategorien keine verbindlichen Standards geben, auch das Einspielen für Software-Patches zum Beheben von Sicherheitsschwachstellen sei oftmals gar nicht vorgesehen, sagt der Sicherheitsforscher.

Wie schnell ein Software-Fehler zu brenzligen Situationen führen kann, veranschaulichte Cerrudo anhand einiger Beispiele. Im November 2013 steckten bis zu 1000 Passagiere mehre Stunden lang in 19 Zügen des Bay Area Rapid Transit (BART) bei San Francisco fest, da ein Software-Bug das System komplett zum Absturz brachte. Ein Fehler im Computersystem das Gerichts von Placer County ließ im Mai 2012 irrtümlich über 1200 Leute gleichzeitig als Geschworene für einen Prozess antanzen, was zu einem totalen Verkehrschaos in der Region führte. Auch einer der größten Black-outs der jüngeren Geschichte im August 2003 im gesamten Nordosten der USA ging auf ein fehlerhaftes Alarmsystem beim Energieversorger FirstEnergy Corporation zurück. 55 Millionen Menschen waren betroffen.

Banken hochgefährdet

„Die meisten der gezeichneten Szenarien sind derzeit noch hypothetisch. Mutmaßliche Vorfälle konnten bisher auch nur schwer einem konkreten Angreifer nachgewiesen werden“, sagt RSA-Cyberwar-Experte Alex Cox im Gespräch mit der futurezone. Neben der Energieversorgung sind auch Gesundheitssysteme und die Finanzinfrastruktur Hochrisiko-Ziele. „Die Banksysteme sind global verknüpft, Angriffe können auf physische Infrastruktur, also Computer und Bankomaten abzielen, wie es etwa in Südkorea 2013 geschehen ist, oder aber auch auf die Börse, um Kursmanipulationen im großen Stil durchzuführen“, so Cox.

Das große Problem für Stadtregierungen sei neben der Bürokratie und der Schwerfälligkeit des Apparats zudem, dass sie im Normalfall mit den Budgets in der freien Wirtschaft nicht mithalten können. „Als Cyber-Security-Experte kann ich heute arbeiten, wo ich will und mir eine goldene Nase verdienen. Die öffentliche Hand kann da finanziell im Normalfall nicht mithalten“, sagt Cox. Wo es keine florierende Wirtschaft gebe, würden viele dieser Talente in die Schattenwirtschaft abgleiten – das erkläre auch, warum etwa Russland, aber auch andere osteuropäische und südamerikanische Länder überdurchschnittlich viele Cyberkriminelle hervorbringe.

Dunklen Mächte besser vernetzt

Dazu kommt, dass Untergrund-Netzwerke im Normalfall viel besser vernetzt sind und sich gegenseitig helfen, etwa wenn es um den Austausch von Angriffswerkzeugen oder Informationen über Schwachstellen geht. „Unternehmen, aber auch Regierungen scheuen sich davor, ihre – auch negativen – Erfahrungen auszutauschen, da sie Angst vor weiteren Hacks oder einem öffentlichen Image-Schaden haben. Wenn wir uns in Zukunft besser verteidigen wollen, müssen wir das aber verstärkt tun – egal ob auf privater, unternehmerischer oder Regierungs-Ebene“, ist Cox im futurezone-Interview überzeugt.

Sicherheitsverantwortlichen wird empfohlen, sich genau mit der Bedrohungslage auseinanderzusetzen: Was sind potenzielle Ziele und Schwachstellen in der Infrastruktur? Wer sind die potenziellen Angreifer, welche Agenda könnten sie verfolgen? Vor allem aber: Wo liegen die Prioritäten, welcher Teil des Systems bzw. der Infrastruktur muss um jeden Preis geschützt werden? Für den Sicherheitsexperten Cesar Cerrudo muss beim Kauf etwaiger Smart-City-Lösungen vertraglich abgesichert sein, dass regelmäßige Updates eingespielt werden und ein durchgehender Support rund um die Uhr gegeben ist. Städten empfiehlt Cerrudo zudem den Aufbau einer eigenen CERT-Einheit.

Dumme statt smarte Citys

„Smart Citys werden schnell zu dummen Citys, wenn etwa der Datenstrom manipuliert wird, der ihre Entscheidungen beeinflusst. Dies ist vielerorts leicht möglich, da die Drahtlosverbindungen, mit denen die Sensoren untereinander kommunizieren, meist unzureichend gesichert sind. Auch auf Verschlüsselung wird vielerorts völlig verzichtet“, sagt Cerrudo. In einer kurzen Live-Demonstration auf der RSA Conference zeigte Cerrudo, wie problemlos ein existierendes Verkehrs-Monitoring-System mit falschen Daten gefüttert werden kann. Dem System wurde suggeriert, dass an verschiedenen Stellen Dutzende Autos vorbeifuhren – was etwa die Ampelschaltung komplett durcheinander bringen könnte.

Gefährlichere Szenarien umfassen Sensoren, die etwa falsche Flut- oder Erdbebenwarnungen auslösen oder unterdrücken. Bei Gaslecks muss der unterirdische Standort des Problems genau lokalisiert werden. Wird aufgrund manipulierter Sensorendaten an der falschen Stelle gegraben, können Explosionen auftreten. Ganze Kamerasysteme können offline genommen werden, um Rettungs- und Einsatzkräfte im Dunklen zu lassen. „Die Hersteller von Smart-City-Einheiten kommen im Gegensatz zu produktiven Systemen einfach auch dadurch durch, da das Testen von Sicherheitsschwachstellen sehr schwierig ist. Wer kann sich schon eine smarte Straßenlaterne oder eine funkende Ampelanlage bestellen?“, meint Cerrudo.

Disclaimer: Die Reisekosten zur RSA Conference wurden von RSA Security übernommen.