Strommasten

Stromleitung bei Ölbronn, Deutschland, 2018 © cc-by-sa Andreas Zachmann

Das Internet kennt keinen Lockdown

Daniela Gschweng /  Der Ausfall des Stromnetzes könnte die Schweiz ins Chaos stürzen. Ein Hackerangriff ist nicht undenkbar.

Die meisten Schweizer kennen Stromausfälle nur aus den Ferien oder wenn im Haus Umbauarbeiten stattfinden. Der Ausfall dauert dann höchstens einige Stunden. Wenn jetzt im Winter in einer kleineren oder grösseren Stadt der Strom ausfiele, wäre das aber schon mehr als unangenehm.

Es gäbe nicht nur kein Licht, keine Heizung und kein Wasser mehr, die meisten elektrischen Geräte und Maschinen blieben stehen, elektrische Türen öffneten sich nicht mehr, die Handykommunikation fiele kurze Zeit später aus. ÖV, Tankstellen und Ampeln wären ebenfalls betroffen. Kritische Infrastrukturen etwa in Spitälern würden noch eine gewisse Zeit mit Notstrom funktionieren, aber auch dieser reicht nicht ewig.

Bei einem Blackout gäbe es Tote

Bei einem grossflächigen Stromausfall würde es Tote geben, legte das Bundesamt für Bevölkerungsschutz (BABS) kürzlich in einer Gefährdungsanalyse dar. Eine «Strommangellage» stuft das BABS als grösste Gefahr für die Schweiz ein, noch vor einer Pandemie. Als eine der möglichen Ursachen nennt es Sabotage.

Hacker-Angriffe auf kritische Infrastrukturen gibt es immer wieder. Zuletzt erwischte es im September 2020 ein grosses deutsches Krankenhaus, das den Betrieb weitestgehend einstellen musste, nachdem die Angreifer alle Daten in Windeseile verschlüsselt hatten (Zeit.de, Paywall).

Der Angriff ging glimpflich aus. Die Angreifer schickten den Entschlüsselungscode, nachdem sie feststellten, dass sie nicht die Universität Düsseldorf, sondern das Unispital erwischt hatten. Anderen Unternehmen bleibt nicht viel mehr, als zu bezahlen, um wieder Zugriff zu bekommen. Andernfalls drohen Angreifer oft mit der Veröffentlichung von erbeuteten Daten. Gefasst werden sie fast nie.

Seit 2015 ist klar: die Bedrohung ist real

Ein grosser und gezielter Eingriff in Energieinfrastruktur blieb bis 2015 ein eher theoretisches Szenario, dann fiel durch einen Cyberangriff der Strom in Teilen der Ukraine für mehrere Stunden aus. Wer dahintersteckte, ist bis heute nicht ganz klar, nur, dass die Angreifer sehr koordiniert vorgingen.

Das Risiko hat seither zugenommen. 2020 gab es weltweit eine «beachtliche Anzahl» von Hacker-Angriffen auf Energieinfrastrukturen, listet der Halbjahresbericht der Melde- und Analysestelle Informationssicherung (NCSC) des Bundes auf. In Algerien wurden vertrauliche Daten gestohlen, ein portugiesischer Energiekonzern sah sich mit einer hohen Lösegeldforderung konfrontiert, um seine Daten wiederzubekommen, in den USA lag im Februar eine Naturgasanlage still, bis die Schadsoftware entfernt war. Besonders im Fokus von Hackern stehen laut NCSC sogenannte Industrielle Kontrollsysteme (ICS). Ein Angriff auf diese spezielle Software erfordere jedoch ein vertieftes Know-How.

In der Schweiz seien 2020 keine Meldungen der Energieversorger über Angriffe auf ihre Systeme eingegangen, schreibt die NCSC auf Nachfrage. Die Behörde wertet Meldungen über Cyberangriffe in der Schweiz erst seit dem 1. Januar 2020 statistisch aus. Für 2019 liegen deshalb keine Zahlen vor. Insgesamt sind im ersten Halbjahr über 5‘000 Meldungen eingegangen. Eine Meldepflicht für Cyberangriffe auf Energieinfrastruktur gibt es nicht.  

Eine Frage des Aufwands

Während der Corona-Krise haben Cyberangriffe zugenommen, Sicherheitsbehörden in aller Welt haben sie aber schon seit vielen Jahren auf dem Bildschirm. Den Angreifern geht es um Ruhm, darum, sensible Daten zu erbeuten oder Lösegeld zu erpressen. Oder es stecken staatliche Akteure dahinter.

Schon vor vielen Jahren gelang es Hackern, in die Rechner des Pentagon und der NASA einzudringen. Woraus man zweierlei lernen kann: Nichts ist hundertprozentig sicher. Und: Es kommt auf Zweck und Aufwand an.

Ein nicht unbeträchtlicher Teil eines IT-Sicherheitskonzepts besteht darin, Eindringlingen das Leben so schwer wie möglich zu machen. Einzelpersonen oder kleine Gruppen kann das bereits abschrecken. Übersteigt der Aufwand den zu erwartenden Gewinn, lohnt sich die Sache nicht mehr. Hacking ist, so gesehen, nichts weiter als Arbeit.

Der Weg zu wichtigen Schaltstellen kann lang sein

Grössere, gut organisierte und finanzierte Gruppen können den Schnauf aufbringen, sich ihrem Ziel koordiniert und langsam zu nähern. In der Uniklinik Düsseldorf befand sich die bösartige Software bereits mehrere Monate im System, bevor die Angreifer zuschlugen.

Grob gesagt, gibt es in einer Netzwerkinfrastruktur nicht nur ein «Drinnen» und ein «Draussen», vielmehr mehrere «Drinnnens», die sich umeinander und nebeneinander schachteln. So können einige Angestellte aus dem Büronetzwerk vielleicht unter weiteren Sicherheitsvorkehrungen auf eine Steuerung zugreifen. Diese muss ein Angreifer zunächst überwinden. Oder er entwendet Daten, mit denen Zugriff aus einer anderen Richtung möglich ist.

Manchmal hat er dabei auch das Nachsehen. Im März 2020 gab der Verband der europäischen Übertragungsnetzbetreiber ENTSO-E bekannt, dass er Schadsoftware in seinem Büronetzwerk entdeckt habe. ENTSO-E hatte dabei eher Glück als Verstand. Eine Gefahr für die Stromversorgung bestand an diesem Punkt noch nicht.

Das grösste Sicherheitsrisiko ist der Mensch

Solche Angriffe zu verhindern, gleicht einem Wettrüsten. Schwachstellen gibt es auch bei grösster Vorsicht immer wieder, sei es in der Programmierung oder in den Abläufen. Die nächste noch unbekannte Sicherheitslücke, die ein Hacker gefunden hat, wird vielleicht gerade jetzt für viel Geld im Internet versteigert. Bekannt gewordene Lücken müssen behoben werden, zum Beispiel in Form von Software-Updates. Angreifer ersinnen laufend neue Schadsoftware, um an die wichtigen Schalthebel zu gelangen.

Eine der grössten Schwachstellen sind die Mitarbeiter. Schon eine unbedacht angeklickte Webpage oder ein Email-Attachment kann einem Angreifer den Weg ins Unternehmen ebnen. Dazu kommt vielleicht noch ein schwaches Passwort oder zögerlich gepatchte Rechner. Bis zum Zugriff auf kritische Infrastruktur hat ein Eindringling unter Umständen noch einen weiten Weg vor sich, aber der erste Schritt ist getan.

Ein Viertel der Energieversorger schätzte das Risiko 2017 als sehr hoch ein

Vor allem die grossen Energiekonzerne geben sich Mühe, ihre Infrastruktur bestmöglich zu schützen, und schulen dabei auch ihre Mitarbeiter. Kleinere Netzbetreiber tun sich schwerer. Ein Viertel sei nicht genügend geschützt, fand der «Tagesanzeiger» 2019. Ein Fünftel der Schweizer Stromversorger war laut der Eidgenössischen Elektrizitätskommission ElCom 2017 von Cyberangriffen betroffen. Laut Statista schätzte im selben Jahr fast ein Viertel von 83 befragten Schweizer Energieunternehmen die Gefahr von Stromausfällen durch Cyberattacken als «sehr hoch» ein.

Gleichzeitig wird die Vernetzung der Energieversorger immer vielfältiger und der IT-Überbau wächst, die Angriffsfläche wird damit grösser. Neu sind zum Beispiel Stromzähler, die den Verbrauch intelligent anpassen und in beiden Richtungen kommunizieren können. Das macht sie anfällig für Angriffe.

Nicht nur eine nationale Aufgabe

Eine Einschätzung, was im Fall eines erfolgreichen Angriffs passieren kann, ist naturgemäss schwierig. Fällt ein einzelnes Unterwerk oder Umspannwerk aus, sorgt das vielleicht für einen lokal begrenzten Stromausfall. Es kann einige Stunden dauern, bis der Stromversorger die Lücke geschlossen hat. Sind grössere Strukturen betroffen, kann es dauern. Die Hacker in der Ukraine zerstörten 2015 absichtlich wichtige Dateien, um das Wiederanfahren zu verzögern.

Eine Studie der Universität Oxford zur Cybersicherheit in der Schweiz gibt der Schweizer Regierung gute Noten, was die rechtlichen und gesellschaftlichen Bedingungen betrifft. Die Stromversorgung betrifft aber längst nicht mehr ein Land allein. Europäische Energielieferanten sind untereinander stark vernetzt. Es könnte die Energieversorgung der Schweiz also auch dann treffen, wenn anderswo sabotiert wird. Umgekehrt wäre eine Störung der Energiedrehscheibe Schweiz auch für andere Länder ein Problem.


Themenbezogene Interessen (-bindung) der Autorin/des Autors

Keine.

Zum Infosperber-Dossier:

Fliegerabwehrkanone

Die Sicherheitspolitik der Schweiz

Wer und was bedroht die Schweiz? Welche Strategie braucht sie für ihre Sicherheit nach innen und aussen?

War dieser Artikel nützlich?
Ja:
Nein:


Infosperber gibt es nur dank unbezahlter Arbeit und Spenden.
Spenden kann man bei den Steuern in Abzug bringen.

IBAN: CH 0309000000604575581

5 Meinungen

  • Avatar
    am 3.01.2021 um 12:01 Uhr
    Permalink

    Es ist hoch erfreulich, dass Infosperber, dass grösste Risiko der Schweiz eine lang andauernde Strommangellage thematisiert. Immer wieder wird das Risiko eines Cyberangriffs in den Vordergrund gestellt. Dabei wird im Risikobericht des BABS S.40 5.5.2 Veränderungen der Risiken mutwillig herbeigeführter Ereignisse darauf hingewiesen, dass dieses Risiko gegenüber dem Bericht von 2015 als tiefer eingeschätzt wird.
    Das grösste Risiko liegt wohl eher darin, dass die Behörden und auch Medienschaffende mehr auf Ihre Meinung berufen und weniger auf die doch recht einfachen physikalischen Fakten. Da die Problemanalyse nicht auf Fakten beruht, ist die logische Folge, dass bedauerlicherweise auch in Infosperber keine praktikabeln Lösungsvorschläge vorgestellt werden. Fakt ist, dass im europäischen Stromnetz jederzeit gleich viel Strom eingespiesen wie ausgespiesen werden muss. Zudem müssen jederzeit ausreichend grosse Stromleitungen für die Verschiebung von Strom von der Produktion zu den Nutzern zur Verfügung stehen. Sind diese Voraussetzungen nicht mehr gegeben, kommt es zu lokalen oder totalen Stromausfällen. Es ist längst bekannt, dass die Lösung des Problems der Aufbau von lokalen Stromzellen sind. Diese Stromzellen können im Notfall autark betrieben werden und nach einer Störung wieder automatisch verbunden werden? Warum schreibt auch bei Infosperber niemand darüber?

    0
  • Avatar
    am 3.01.2021 um 13:00 Uhr
    Permalink

    Sabotage, Hacker ist das eine – die NASA hatte 2016 noch für 2020 einen noch nie dagewesenen Sonnensturm vorausgesagt. Der ist zum Glück nicht eingetroffen.
    Wie die noch sehr junge Infrastruktur des aktuellen Internets mit immer mehr Wireless Verbindungen auf einen auch nur schwachen Sonnensturm reagiert, ist noch völlig offen.

    0
  • Avatar
    am 3.01.2021 um 19:24 Uhr
    Permalink

    Es werden zu viele Dinge ans Internet gehängt. Ja, das ist bequem, kostet aber eben in der Form von Schäden durch Angriffe oder den erhöhten Aufwand diese abzuwehren. Muss der Backofen wirklich einen Internetanschluss haben? Vertrauen Sie den Assistenten von Google, Apple, Amazon oder Microsoft? Die Risiken werden zunehmen, weil solche Gewohnheiten und Geräte immer populärer werden.

    Die Verschlüsselungs-Erpressungen lassen diejenigen unbeeindruckt, die ein aktuelles Backup haben, was bei Organisationen und Infrastruktur-Unternehmen selbstverständlich sein sollte.

    Die meiste Schadsoftware lässt sich bereits abwehren durch sichere Einstellung von Microsoft Office usw. (z.B. keine Makros) oder der Benutzung von anderen Anwendungen und auf PCs die Verwendung von Linux oder ähnlicher Software statt der üblichen Desktop-Betriebssysteme. Das verhindert zwar kaum Schäden durch Profis und schon gar nicht durch „social engineering“ (z.B. Angreifer erschleicht sich Passwörter am Telefon durch Tricks), macht aber den Aufwand zu hoch für Kleinkriminelle oder Giesskannenangriffe, weil solche Systeme resilienter sind als die üblichen Monokulturen. Wie in der Landwirtschaft.

    0
  • Avatar
    am 6.01.2021 um 10:26 Uhr
    Permalink

    Ganz klar ist das Globale Netz gefährlich. Im Dezember 2015 gingen in der Ukraine die Lichter aus nach dem im Nov zuvor auf der Krim die Lichter erloschen. In der Ukraine war es ein Hacker angriff und 225000 Menschen waren betroffen, auf der Krim eine Mechanische Sabotage und 1.5 Mio Menschen waren betroffen und dies für längere Zeit. Wenn die Strommasten an mehreren Orten in Europa gleichzeitig fallen… keine Alarmanlage und gar nichts mehr geht ? Will es mir gar nicht ausmahlen, zum Glück sind die Strommasten so gut bewacht wie das Internet… Und toll das man für den Bunsenbrenner auch einen Erwerbsschein braucht…

    0
  • Avatar
    am 10.01.2021 um 16:10 Uhr
    Permalink

    Dieser Artikel hat leider nicht das sonst übliche, hohe Niveau voin Infosperber: Die Verfasserin verallgemeinert zu stark und stellt Vemutungen bzw. Behauptungen an, die sie nicht belegt. Ich meine, dass ein gut gesteuertes Stromnetz so konstruiert ist, dass eben KEIN Domino-Effekt eintritt, wenn irgendwo die Lichter ausgehen. Und je autonomer kleine Energieversorgungen angelegt sind (die immer sowohl aus Erzeugern als auch aus Konsumenten bestehen), umso geringer sind die Verschiebungen von grossen Energiemengen über grosse Strecken und umso weniger anfällig wird das grosse gesamteuropäische Netz. Kommt dazu, dass lebenswichtige Unternehmungen (Spitäler, Kraftwerke, usw.) über Notstromversorgungen (ja, das Wort tönt ein bisschen nach Kaltem Krieg; wie z.B. „Notvorrat“) verfügen müssen und sich eine gewisse Zeit autark versorgen können.

    0

Ihre Meinung

Lade Eingabefeld...