vgbe energy journal 5 (2022) - International Journal for Generation and Storage of Electricity and Heat

Cyberwar in der Energiewirtschaft: Der aktuelle Stand
Des Weiteren stellt Kaspersky Kunden, Partnern
und Regulierern eine Software Bill
of Materials (SBOM), d.h. eine Liste der
Softwarekomponenten zur Verfügung. Die
SBOM liefert Belege, welche die Teile beschreiben,
aus denen die Software zusammengesetzt
ist und offenbart, wie diese Teile
zusammenarbeiten. Darüber hinaus
sind so genannte Source-Code Reviews
in den Transparenzzentren von Kaspersky
in einer besonders abgesicherten Remote
Umgebung möglich. Zahlreiche europäische
und nationale Behörden haben hiervon
Gebrauch gemacht, das BSI jedoch
nicht.
Auch hat Kaspersky bereits vor Jahren die
kritischen Services in Schweizer Rechenzentren
ausgelagert und zahlreiche andere
europäische Cybersicherheitsbehörden
(z.B. Schweiz, Frankreich, Großbritannien)
sind deshalb nicht dem Weg des deutschen
BSI gefolgt.
Viele fragen sich, ob der wahre Grund für
die Ablehnung der Kaspersky Antivirensoftware
vielleicht in der Person des Eugene
Kaspersky begründet, ist:
Kaspersky hat 1987 seinen Abschluss in
Moskau an einer KGB-Hochschule, der späteren
FSB Akademie gemacht. 2013 hat er
dann die Zusammenarbeit mit dem russischen
Inlandsgeheimdienst FSB, aber auch
mit vergleichbaren Behörden in den USA
sowie der Europäischen Union bestätigt
[15, 16]. Falls es zuträfe, so wäre es ehrlicher
gewesen, dass man vorträgt, dass man
als BSI einer Person Eugene Kaspersky nicht
traut. Dieser Argumentation würden viele
Menschen sicher größeren Glauben schenken
als die Begründung des OVG und des
BSI.
Warum eine staatliche Asset-
Datenbank geholfen hätte:
Ein großes Problem besteht darin, dass die
Hersteller kritischer Komponenten zwar die
Risiken melden und veröffentlichen, es teilweise
aber lange dauert, bis diese von den
Betreibern kritischer Infrastrukturen zur
Kenntnis genommen werden. Dann kann es
wiederum eine längere Zeit dauern, bis diese
dann gepatcht werden.
Im Rahmen der Gestehung des IT-Sicherheitsgesetzes
2.0 war anfangs ein wesentlicher
Gesichtspunkt, dass die Betreiber kritischer
Infrastrukturen alle ihre relevanten
Assets an das BSI melden (sollten), so dass
diese dann in einem Ernstfall den Betreibern
helfen können. Es war gleichwohl abzusehen,
dass diese Lösung nicht umgesetzt
wird, da dies systemrelevante Schwachstellen
gnadenlos offengelegt hätten. Nun kann
man sich natürlich fragen: Gibt es wirklich
so viele CVE´s (Common Vulnerabilities and
Exposures, zu Deutsch: Bekannte Schwachstellen
und Anfälligkeiten). Betrachten wir
uns hierzu die Zahlen von Januar bis April
2022:
Vulnerabilities by Type in 2022 [17]:
DoS 861
Code Execution 1.649
Overflow 741
Memory Corruption 118
SQL Injection 489
XSS 1.144
Directory Traversal 218
Bypass something 331
Gain information 286
Gain Privileges 71
CSRF 238
File Inclusion 20
CVSS Score Distribution for Products by Total
Number of “Distinct” Vulnerabilities, 9+
Vulnerabilties [18]:
Android 913
Internet Explorer 577
Mac Os X 562
Firefox 511
Windows Server 2008 471
MS Office 455
Iphone Os 439
Windows 7 414
Thunderbird 359
Windows Server 2012 357
Windows 10 354
Das Dilemma mit den
Schwellenwerten
Es liegt in der Natur der Sache, dass man in
der Regel nur dann etwas tut, wenn man etwas
tun muss. Im Rahmen der Cyberangriffe
auf den Bereich der Stromerzeuger fällt
auf, dass in letzter Zeit Windenergieanlagen
viel öfter von Cyberattacken betroffen waren
als klassische Großkraftwerke. Dies liegt
jedoch keinesfalls, dass Großkraftwerke per
se sicherer wären als Windenergieanlagen.
Das Problem liegt aber darin, dass Großkraftwerke
in der Regel seit Anbeginn über
den Schwellenwerten liegen und sich dann
stets jährlich zertifizieren lassen müssen,
während Windenergieanlagen oftmals unterhalb
der Schwellenwerte liegen und sich
dann nicht einer (nur) alle zwei Jahre stattfindenden
Prüfung nach § 8a BSI-Gesetz unterziehen
müssen.
Cybersecurity kostet bekanntlicher Weise
sehr viel Geld und den Return on Invest
sieht man erst dann, wenn eine Cyberattacke
fehlgeschlagen ist. Für die meisten
CISO´s und CIO´s erwächst in dem Fall aber
das Problem, dass von Controllern und Wirtschaftsprüfern
gerne im Nachhinein das Argument
vorgetragen wird: „Hätte man das
gleiche Ergebnis nicht mit sehr viel weniger
Security-Invest realisieren können?“
Allein an der Diskrepanz der Anzahl der „erfolgreichen“
Cyberangriffe auf die unterschiedlichen
Arten von Stromerzeugern erkennt
man, dass die Definition der Betreiber
kritischer Infrastrukturen nach deutschem
Muster fehlgeschlagen ist.
Wie volkswirtschaftlich unsinnig manche
Definition der Schwellenwerte ist, kann
man am KRITIS-Sektor Wasser/Abwasser
erkennen. In Deutschland gab es im Jahr
2021 circa 6.000 Unternehmen der öffentlichen
Wasserversorgung und Abwasserbeseitigung.
Durch die Definition der
Schwellenwerte im Sektor Wasser / Abwasser
fielen im Jahr 2021 nur 17 von insgesamt
5.845 Unternehmen (d.h. weniger als ein
Prozent) unter die Kritis-Verordnung. Wenn
man solche Schwellenwerte definiert, so
kann man den Schutz kritischer Infrastrukturen
in manchen Sektoren auch vergessen.
Das Schaubild von B i l d 5 mag dabei verdeutlichen,
wie bürokratisch überbordend
und unterschiedlich die IT-/OT-Security bei
einem klassischen deutschen Stadtwerk betrachtet
werden muss.
Es bleibt zu hoffen, dass die Europäische
Union hier zeitnah eingreifen wird.
Informations- statt Cyberkrieg
und die Antwort der EU
Statt eines Cyberkriegs ist jedoch ein Informationskrieg
im vollen Gange. Über alle sozialen
Medien werden gefälschte Nachrichten
mit Fake-Bildern und Fake-Videos verbreitet,
so dass es nur schwer nachzuvollziehen
ist, was stimmt und was nicht
stimmt. Dem, d.h. der Verbreitung von Fake-
News durch so genannte Troll-Armeen muss
natürlich Einhalt geboten werden, und zwar
so schnell wie möglich.
Eine Antwort der Europäischen Kommission
zur Bekämpfung der Troll-Armeen ist die am
11.5.2022 vorgestellte Regelung zur Chatkontrolle.
Geplant ist eine AI-basierte Prüfung
aller Nachrichteninhalte und Bilder
von Chats direkt auf den Endgeräten. Dieses
Client-Side-Scanning wäre ein Angriff auf
jegliche vertrauliche Kommunikation.
„Nicht nur Journalist*innen und Whistleblower*innen
sind auf vertrauenswürdige
Kommunikation angewiesen. Vertrauenswürdige
Kommunikation ist auch ein
Grundrecht und wichtiger Eckpfeiler unser
aller IT-Sicherheit. Damit Kommunikation
tatsächlich vertrauenswürdig ist, müssen
zwei Bedingungen erfüllt sein:
––
Das eigene Gerät muss integer sein und
darf Inhalte nicht an Dritte ausleiten
––
Die Verschlüsselung muss sicher sein, so
dass man dem Netz nicht vertrauen muss.
Mit 1.
––
dem Fernmeldegeheimnis und
––
dem Grundrecht auf Gewährleistung der
Vertraulichkeit und Integrität informationstechnischer
Systeme
36 | vgbe energy journal 5 · 2022