Warum die Wasserversorgung auch in Deutschland gefährdet ist

Mehr als 30 Wasserwerke im US-Bundesstaat Minnesota waren am Wochenende Ziel koordinierter Cyberangriffe. Schnell sickerte durch, dass iranische Hacker dahinter stecken sollen. Experten sagen, dass es keineswegs einfach ist, so etwas sicher nachzuverfolgen. Dabei könnten schon bald auch in Deutschland ähnliche Angriffe drohen. Während Milliarden in Luftabwehr, Panzer und Raketen fließen, stehen Wasserwerke und Kläranlagen auch hierzulande bei Investitionen in die Sicherheitsarchitektur nicht gerade weit oben.

Die in Deutschland zur kritischen Infrastruktur (KRITIS) zählenden Anlagen sind hoch digitalisiert. Fast durchgängig werden sie über vernetzte Computersysteme gesteuert. Gelingt es Cyberangreifern, diese Steuerungen zu übernehmen, können sie den Betrieb massiv stören oder Anlagen ganz lahnlegen. Notgedrungen müssten die Wasserversorger dann auf Handbetrieb umstellen.

Wasserversorgungssystem außer Betrieb

Der Angriff auf die US-Wasserversorgungssysteme war ernstzunehmend: Laut FBI und der US-Umweltbehörde EPA kam es zu „Druckverlusten und Überschwemmungen“, wie die „New York Times“ berichtete. Druckverluste können dazu führen, dass unbehandeltes Grundwasser in die Leitungen eindringt. Mindestens ein Wasserversorgungssystem war kurzzeitig außer Betrieb.

US-Präsident Donald Trump spielte die Ausfälle herunter und schob die Störungen in der Wasserversorgung der vermeintlichen Inkompetenz des US-Bundesstaates Minnesota und dessen demokratischen Gouverneur Tim Walz – seinem politischen Widersacher – in die Schuhe. Amerikanische Sicherheitsbehörden sagen indes seit Monaten, dass iranische Hacker gezielt kritische Infrastruktur ins Visier nehmen.

Datenströme hinterlassen Spuren

Verschiedene Institutionen machten bereits Tage nach der Tat den Iran verantwortlich – obwohl die Beweisführung nicht abgeschlossen ist. Doch wie lässt sich eigentlich sicher sagen, wer einen Cyberangriff durchgeführt hat? Fachleute sind sich einig: Eine Cyberattacke lückenlos auf einen Angreifer zurückzuführen, ist äußerst schwierig.

Zwar hinterlassen Datenströme im Internet Spuren, über die der mögliche Ausgangspunkt eines Angriffs ausfindig gemacht werden kann. Das können beispielsweise Einträge in Logdateien von Routern, Zeitstempel oder verwendete IP-Adressen sein. Wer nachvollziehen möchte, welchen Weg ein Datenpaket im Internet genommen hat, wo es herkommt und an wen es gesendet wurde, kann diese Informationen sammeln und auswerten.

Irreführende Hinweise und Verschleierung

Der Faktor Zeit spielt Hackern allerdings meist in die Hände: Wird ein Angriff nicht sofort erkannt und verfolgt, sind Logdateien möglicherweise bereits überschrieben. Hacker sind zudem in der Lage, digitale Datenspuren zu verwischen. Beim so genannten IP-Spoofing verändert der Angreifer gezielt die Teile des Datenpakets, die Aufschluss über dessen Sendeadresse geben. Über Virtual Private Networks (VPNs), das Tor-Netzwerk oder andere Methoden kann Internetverkehr umgeleitet werden. So lässt sich der eigene Standort verschleiern. Gleichzeitig platzieren Angreifer oftmals irreführende Hinweise, um von sich abzulenken.

Das European Repository of Cyber Incidents (EuRepoC) führt eine Datenbank über seit dem Jahr 2000 weltweit bekannt gewordene Cyberangriffe. Darin wird festgehalten, wer für den jeweiligen Angriff verantwortlich gemacht wird. Der Vorgang, einen bestimmten Akteur für einen Cyberangriff verantwortlich zu machen, heißt Attribution.

Rechnung mit vielen Unbekannten

Eine Attribution ist von ihrer Genauigkeit her aber nicht vergleichbar mit einer mathematischen Gleichung. Hier fließen technische Berichte von Sicherheitsunternehmen ein, häufig etwa von US-Firmen wie Microsoft, CrowdStrike, Cisco oder Palo Alto Networks. Das Muster und Vorgehen wird – wie bei realen Einbrechern – mit dem Vorgehen bekannter Angreifergruppen verglichen. Die Sprache des Codes oder die Zeiten, an denen der Code erstellt wurde, können ebenfalls Hinweise sein. Hinzu kommen Informationen von Geheimdiensten oder von einzelnen Politikern, die ihre Quellen häufig nicht offenlegen können.

Übereinstimmende, unabhängige Belege gesucht

Dr. Jörn Müller-Quade, Professor für Kryptographie und Sicherheit am Karlsruher Institut für Technologie (KIT), benennt die Schwierigkeiten einer zuverlässigen Nachverfolgung: „Angriffe können … von korrumpierten Rechnern gestartet werden. Das heißt, von wo der Angriff durchgeführt wird, muss nichts sagen. Viele andere Indizien wie russische Worte in der Software sind auch fälschbar. Ein Problem, das sich daraus ergibt, ist, dass eine Zuordnung – selbst, wenn sie richtig ist – kaum überzeugend belegt werden kann.“

Cyberangriffe Angreifern oder Angreifergruppen klar zuzuordnen, hält auch Dr. Tibor Jager, Professor für IT-Sicherheit und Kryptographie an der Bergischen Universität Wuppertal, für schwer: „Belastbarer wird eine Attribution dann, wenn mehrere voneinander unabhängige Belege übereinstimmen. Absolute Gewissheit gibt es dabei selten. Angreifer können bewusst falsche Spuren legen oder fremde Infrastruktur und Werkzeuge verwenden.“

Vorsicht bei Beschuldigungen

Dr. Thorsten Holz, wissenschaftlicher Direktor am Max-Planck-Institut für Sicherheit und Privatsphäre in Bochum, empfiehlt angesichts der Unsicherheiten, bei Beschuldigungen das Konfidenzniveau genauer zu benennen. Das Konfidenzniveau gibt an, mit welcher Wahrscheinlichkeit eine Einschätzung zutreffend ist. Er empfiehlt Formulierungen wie „mit hoher Sicherheit“ oder „wahrscheinlich“.

Operationen auch von NSA oder GCHQ

Einig sind sich die Sicherheitsexperten darin, dass einige Staaten umfangreiche Sicherheitsangriffe betreiben oder beauftragen. Russland, China und auch Iran zählen dabei zu den aktivsten Staaten. Gewarnt wird aber vor einer zu selektiven Wahrnehmung: Auch die US-amerikanische NSA, der britischen GCHQ oder andere westliche Dienste führen Operationen durch. Die ungeprüfte Übernahme staatlicher oder kommerzieller Kommunikation sehen die IT-Fachleute deshalb höchst kritisch.