Im Jahr 2019 erreichte der Cyberkrieg die kleine Stadt Wisconsin Rapids in Wisconsin, in der Matt Stormoen lebte.
In jenem Jahr führten kriminelle Hacker eine Welle von Angriffen unter dem Namen „ “ gegen mehr als ein Dutzend kleiner, unzureichend geschützter Versorgungsunternehmen in 18 Bundesstaaten durch. Die Angreifer, deren Herkunft nach Hongkong zurückverfolgt werden konnte, hatten ihre Ziele aufgrund ihrer Nähe zu kritischer US-Infrastruktur ausgewählt, darunter bedeutende Staudämme und Stromübertragungsleitungen des Bundes, für die Importe von Stahlwerken entscheidende Schleusen sowie Energieverteilungszentren im Netzmaßstab.
„Sie haben versucht, unsere Firewall zu durchbrechen“, sagt Stormoen, der die IT-Abteilung der „ Water Works and Lighting Commission“ in Wisconsin Rapids leitet, die rund 15 000 Kunden mit Strom versorgt. Obwohl sein Netzwerk nicht angegriffen wurde, sagt Stormoen: „Wir mussten die Bedrohungen stets im Auge behalten.“
Das FBI und das Ministerium für Innere Sicherheit warnen bereits seit Langem davor, dass der US-Energiesektor ein Ziel für Hacker ist. Im April wurde dies durch den erfolgreichen Ransomware-Angriff „ “ auf Colonial Pipeline deutlich, der zur Stilllegung einer wichtigen Kraftstoffleitung führte und das Unternehmen dazu zwang, eine Lösegeldzahlung in Höhe von 4,4 Millionen Dollar zu leisten.
Während große US-Versorgungsunternehmen über ausreichende finanzielle Mittel verfügen, um ihre Cybersicherheit zu verbessern – und damit ihre Netzwerke sowie die Tausenden von Endgeräten zu schützen, die mit diesen verbunden sind –, fehlen kleineren Versorgungsunternehmen und Energieversorgern häufig die entsprechenden Budgets, um dies ebenfalls zu tun.
„Ein Großteil der Infrastruktur, auf der die Technologie bei kleineren Versorgungsunternehmen läuft, ist für moderne Cyber-Tools zu veraltet, was die Besorgnis noch verdoppelt“, sagt Tyler Costello , und Leiter des Bereichs Strategische Kunden bei Tanium, der mit mehreren Einrichtungen kritischer Infrastruktur sowie einem der größten Strom- und Erdgasversorger des Landes zusammenarbeitet. „Kleinere Versorgungsunternehmen haben mit veralteten Systemen, Budgetengpässen und begrenzten Ressourcen zu kämpfen.“
Geringe Budgets, wenig Fachwissen
Wie andere Unternehmen der Branche auch digitalisiert der Energieversorger aus Wisconsin Rapids seinen Betrieb und nutzt dabei Technologien wie (intelligente Zähler), Online-Zahlungs , Portale sowie , Cloud-Computing und Plattformen. Doch all diese Vernetzung mit dem Internet hat ihren Preis. Dies weckt das Interesse von Cyberkriminellen.
Kleine Versorgungsunternehmen, die einige Tausend Kunden oder weniger versorgen, sind besonders anfällig. Sie sehen die Notwendigkeit einer Modernisierung, unter anderem, um Übernahmeversuche größerer Energieversorger abzuwehren, zögern jedoch oft (oder sind schlichtweg nicht in der Lage), die Tarife oder lokalen Steuern anzuheben, um die Modernisierungsmaßnahmen zu finanzieren. Infolgedessen können sich diese Versorgungsunternehmen oft keinen IT-Fachmann vor Ort leisten.
„Es kann also sein, dass der IT-Mitarbeiter Kundendienst leisten muss.“ „Möglicherweise muss er sich auch um das Marketing kümmern“, sagt Carter Manucy, Leiter des Bereichs Cybersicherheit bei der „ “ Florida Municipal Power Agency (FMPA), einem Zusammenschluss von 32 Energieversorgungsunternehmen aus dem gesamten Bundesstaat und Mitglied der American Public Power Association.
„“Kleinere Versorgungsunternehmen haben mit veralteten Systemen, Budgetengpässen und begrenzten Ressourcen zu kämpfen.“Tyler Costello, Leiter des Bereichs Strategische Kundenbetreuung bei Tanium
Kommunale Versorgungsunternehmen und ländliche Genossenschaften stehen zudem vor einer weiteren Herausforderung, mit der große Versorgungsunternehmen nicht konfrontiert sind. Sie agieren außerhalb der Aufsicht und des Schutzes der North American Electric Reliability Corp (NAERC). Dieser Branchenverband überwacht Eigentümer, Betreiber und Nutzer von Großstromnetzen und kann bei mangelnder Einhaltung der Vorschriften Geldbußen verhängen. Das bedeutet, dass die großen Akteure ein finanzielles Interesse daran haben, sich an die Regeln zu halten, und dass sie nützliche Anleitungen erhalten, wie sie dabei vorgehen können.
Es besteht ein ernsthaftes Wahrnehmungsproblem. „Da kleine Energieversorger weniger streng überwacht werden, könnten kriminelle Hacker sie für eine leichtere Beute halten“, sagt Nicholas Abi-Samra, außerordentlicher Professor an der University of California in San Diego, der Vorlesungen über Stromversorgungssysteme hält und Beratungsdienste für die Stromversorgungsbranche erbringt. „Doch sie sind mit denselben Arten von Bedrohungen konfrontiert.“
Zurück zu den Grundlagen
Die Stärkung der Cybersicherheit eines Versorgungsunternehmens – wozu unter anderem die Installation neuer Server und Sicherheitssoftware, die Schulung der Mitarbeiter sowie die Einrichtung eines Sicherheitskontrollzentrums gehören könnten – könnte Kosten in Millionenhöhe verursachen. Die Beschaffung dieser Mittel stellt für kleine ländliche Energieversorger eine große Herausforderung dar, da diese häufig einkommensschwache Familien versorgen, die sich die höheren Energiekosten, die zur Finanzierung der Investition erforderlich wären, nicht leisten können.
Die FMPA von Manucy bietet ihren Mitgliedern Schulungen zum Thema Cybersicherheit zu geringen Kosten oder kostenlos an. Doch es setzt sich zunehmend die Erkenntnis durch, dass dies nicht ausreicht. Er sagt, es seien staatliche Hilfen erforderlich, um viele dieser Betriebe auf den neuesten Stand zu bringen. Dazu würde die Einrichtung mehrerer Verteidigungslinien gehören, beginnend mit der grundlegenden Identitäts- und Zugriffsverwaltung für gemeinsam genutzte Anwendungen und Netzwerke.
[Lesen Sie auch: Die zunehmende Anzahl von Tools gefährdet die Sicherheit nach der Pandemie]
Dazu könnten der Einsatz von Zwei-Faktor-Authentifizierung sowie die Einführung eines Zero-Trust-Modells für den Netzwerkzugang gehören. In diesem Modell gilt jeder Endpunkt, jedes Gerät und jeder Benutzer (selbst bereits bekannte) als nicht vertrauenswürdig, bis er bzw. es verifiziert wurde. Zudem ist es erforderlich, den Zugriff mit den geringstmöglichen Berechtigungen zu gewähren, wobei die Person, die den Zugriff beantragt, der Kontext der Anfrage sowie das Risiko der Zugriffsumgebung zu berücksichtigen sind.
Es gibt weitere Möglichkeiten, wie Versorgungsunternehmen ihre Cybersicherheit verbessern können, nämlich indem sie sich auf die Grundlagen einer guten IT- und Cybersicherheitspraxis konzentrieren. Getreu dem Sprichwort „Man kann nicht verwalten, was man nicht sieht“ besteht der erste Schritt darin, alle Endgeräte – Laptops, PCs, Tablets und sogar virtuelle Maschinen in der Cloud –, die mit Ihrem Netzwerk verbunden sind, zu ermitteln und zu erfassen. Durch die regelmäßige Überwachung dieser Endpunkte – und zwar stets in Echtzeit – können Sie potenzielle Schwachstellen und aktive Bedrohungen erkennen.
[Lesen Sie auch: 10 Möglichkeiten, wie Tanium das Konfigurationsmanagement verbessert]
Auch kleinere Versorgungsunternehmen müssen in eine Software-Management- splattform vom Typ „ “ investieren, die es ihnen ermöglicht, mit den Anwendungen, Geräten und der Software Schritt zu halten, die im Zeitalter der Heimarbeit in großer Zahl entstanden sind. Eine einzige Plattform kann jedem kleinen oder mittelgroßen Versorgungsunternehmen dabei helfen, Unternehmensanwendungen von einer einzigen Konsole aus zu erkennen, zu überwachen, zu aktualisieren und zu sichern – und zwar in großem Maßstab. Ebenso kann eine Plattform dabei unterstützen, alle Endpunkte zu verwalten und zu überwachen, wodurch Sicherheitsprobleme in Echtzeit erkannt und behoben werden können.
Sicherung von Firewalls
Nachdem das FBI Wisconsin Rapids darüber informiert hatte, dass Angreifer im Januar und im März 2019 in dessen Systeme eingedrungen waren, leitete Stormoen eine gründliche Überprüfung der Cyberabwehr des Energieversorgers ein. Dazu gehörte eine umfassende Überprüfung der Endpunktsicherheit im Bereich „ “ sowie der allgemeinen Sicherheitsrichtlinien des Unternehmens. Infolgedessen rüstete Stormoen die Firewalls auf und installierte neue Sicherheitssoftware.
“Kleine Versorgungsunternehmen [wünschen sich], einen Chief Information Officer „einzustellen oder unter Vertrag zu nehmen“, der ihnen beratend zur Seite stehen kann.“
Das Versorgungsunternehmen wurde zudem Mitglied des „Electricity Information Sharing and Analysis Center“ (E-ISAC) sowie des „Multi-State Information Sharing and Analysis Center“ (MS-ISAC). Beide Stellen sammeln und verbreiten Informationen und Warnungen zu Cyberangriffen. Heute erhält Herr Stormoen tägliche Berichte, die ihm dabei helfen, Bedrohungen zu erkennen und sicherzustellen, dass seine Abwehrmaßnahmen sicher sind.
Natürlich verfügen nicht alle kleinen Versorgungsunternehmen über einen vollzeitbeschäftigten Matt Stormoen, der die Lage an vorderster Front im Auge behält. Viele versuchen es jedoch mit einem neuartigen Ansatz. Manucy von der FMPA hat einen Anstieg bei kleinen Energieversorgungsunternehmen festgestellt, die darum bitten, „“ einen Chief Information Officer zu kaufen oder zu mieten, der sie in Bezug auf ihre Systeme beraten kann. Dies ist zum Teil darauf zurückzuführen, dass Versicherer im Bereich Cybersicherheit internes Fachwissen verlangen, bevor sie eine Police ausstellen. Viele der fast drei Dutzend Mitglieder seiner Versorgungsunternehmen-Koalition haben ihn gefragt: „Wie kann ich an einer Schulung teilnehmen?“ „Meine Versicherung fragt danach.“
Für kleine Energieversorger könnte der Einsatz nicht höher oder bedeutender sein. Das US-amerikanische Stromnetz ist ein unglaublich komplexes und vernetztes System. Der Ausfall eines einzelnen Knotens kann eine Kettenreaktion auslösen. Just consider the 2003 Northeast blackout, which plunged 50 million people into darkness after a single monitoring tool in an Ohio energy control room malfunctioned.
Doch selbst wenn ein Cyberangriff auf das Netzwerk eines kleinen Versorgungsunternehmens beschränkt bleibt und nur die lokale Bevölkerung betrifft, könnten die Folgen schwerwiegend sein, so Stormoen. Dies könnte die Einsätze der Polizei und der Feuerwehr sowie die Intensivpflege zu Hause beeinträchtigen. „Schon ein einziger könnte großen Schaden anrichten.“
