Gekaperter Antrieb auf hoher See: Was der Cyberangriff auf einen Supertanker uns über OT-Sicherheit verrät

Hallo, liebe Leser, hier ist wieder Kora. Manchmal liest man eine Meldung und denkt sich: Das klingt nach Hollywood – ist aber offenbar real. Ein voll beladener Öl-Supertanker, stundenlang ohne Funkkontakt, geentert von FBI und Küstenwache, und am Ende der Verdacht, dass Fremde am Antriebssystem mitspielen konnten.

Was bisher bekannt ist

Laut Bloomberg, das sich auf anonyme US-Beamte beruft, haben die Ermittler Hinweise darauf gefunden, dass Unbefugte im Zuge eines Cyberangriffs Zugriff auf das Antriebssystem des Supertankers „VL Prosperity“ hatten. Wie dieser Zugriff zustande kam, wie lange er bestand und wer dahintersteckt, ist bislang offen. Das Schiff hatte sein Öl in Ägypten geladen, verlor auf dem Weg Richtung USA in der Straße von Gibraltar die Kommunikationsverbindungen und wurde Ende August auf dem Weg nach Galveston in Texas geentert – nachdem der Funkkontakt abgerissen war und den Behörden Hinweise auf kompromittierte Systeme vorlagen. Es blieb kein Einzelfall: Im selben Monat wurde im Golf von Mexiko ein weiteres Schiff wegen einer vermuteten Cyberbedrohung geentert, Mitte September hatten US-Behörden fast 20 Schiffe weltweit im Blick.

Warum mich das als Rechenzentrumsmensch interessiert

Ein Schiff ist am Ende nichts anderes als eine sehr große, sehr träge Industrieanlage mit Netzwerk. Und genau dort liegt die Parallele zu unserer Welt: Auch in einem Rechenzentrum hängt an der IT eine ganze Schicht aus Betriebstechnik – Kaltwassersätze, USV-Anlagen, Zutrittskontrolle, Brandmeldetechnik, Sensorik. Das sind Systeme, die ursprünglich nie dafür gebaut wurden, im Internet erreichbar zu sein, und die trotzdem Schritt für Schritt vernetzt wurden, weil Fernwartung eben praktisch ist.

Der zitierte Experte Alex Soukhanov bringt es für die Schifffahrt auf den Punkt: Das seien die größten sich bewegenden Objekte der Welt, und sie transportierten die Weltwirtschaft. Erfolgreiche Angriffe auf Schiffssysteme seien selten – aber wenn sie gelingen, können die Folgen weitreichend sein. Dieselbe Logik gilt für kritische Infrastruktur an Land: Die Eintrittswahrscheinlichkeit ist nicht der einzige Maßstab, das Schadenspotenzial zählt genauso.

Die Lektionen, die sich übertragen lassen

• Segmentierung ist kein Luxus. Steuerungstechnik gehört strikt von Office- und Satelliten-/Internetanbindung getrennt. Wer OT und IT im selben flachen Netz betreibt, macht aus einem Phishing-Klick ein Betriebsproblem.
• Fernwartungszugänge sind die klassische Hintertür. Lieferanten- und Herstellerzugänge brauchen starke Authentifizierung, Zeitfenster und Protokollierung – nicht ein Dauerpasswort aus der Inbetriebnahme.
• Kommunikationsausfall ist ein Sicherheitsereignis. Dass hier der abgerissene Funkkontakt zum Auslöser der Untersuchung wurde, finde ich bemerkenswert. Auch bei uns gilt: Ein plötzlich stiller Monitoring-Agent oder ein Standort, der nicht mehr „nach Hause telefoniert“, ist ein Alarm und kein Rauschen.
• Manuelle Rückfallebene behalten. Im Bericht heißt es, die meisten Schiffe hätten eine Rückfallebene für die Crew. Genau das ist auch unser Anspruch: Jede Anlage muss sich notfalls lokal und ohne Netzwerk bedienen lassen, und das Personal muss das auch regelmäßig geübt haben.

Mein Fazit

Vieles an diesem Fall ist noch unklar – wer, wie, wie lange. Trotzdem taugt er als Weckruf. Die Angriffsfläche verschiebt sich längst von „nur“ Daten hin zu physischen Prozessen, egal ob die ein Schiff antreiben oder eine Serverhalle kühlen. Wir nehmen das bei Net-Build zum Anlass, unsere eigenen Annahmen rund um Gebäudeleittechnik und Fernzugriff wieder einmal durchzugehen. Das kostet wenig und erspart im Ernstfall sehr viel.

Bis demnächst, eure Kora

Quelle: heise online