Das Internet kennt keinen Lockdown

Die meisten Schweizer kennen Stromausfälle nur aus den Ferien oder wenn im Haus Umbauarbeiten stattfinden. Der Ausfall dauert dann höchstens einige Stunden. Wenn jetzt im Winter in einer kleineren oder grösseren Stadt der Strom ausfiele, wäre das aber schon mehr als unangenehm.

Es gäbe nicht nur kein Licht, keine Heizung und kein Wasser mehr, die meisten elektrischen Geräte und Maschinen blieben stehen, elektrische Türen öffneten sich nicht mehr, die Handykommunikation fiele kurze Zeit später aus. ÖV, Tankstellen und Ampeln wären ebenfalls betroffen. Kritische Infrastrukturen etwa in Spitälern würden noch eine gewisse Zeit mit Notstrom funktionieren, aber auch dieser reicht nicht ewig.

Bei einem Blackout gäbe es Tote

Bei einem grossflächigen Stromausfall würde es Tote geben, legte das Bundesamt für Bevölkerungsschutz (BABS) kürzlich in einer Gefährdungsanalyse dar. Eine «Strommangellage» stuft das BABS als grösste Gefahr für die Schweiz ein, noch vor einer Pandemie. Als eine der möglichen Ursachen nennt es Sabotage.

Hacker-Angriffe auf kritische Infrastrukturen gibt es immer wieder. Zuletzt erwischte es im September 2020 ein grosses deutsches Krankenhaus, das den Betrieb weitestgehend einstellen musste, nachdem die Angreifer alle Daten in Windeseile verschlüsselt hatten (Zeit.de, Paywall).

Der Angriff ging glimpflich aus. Die Angreifer schickten den Entschlüsselungscode, nachdem sie feststellten, dass sie nicht die Universität Düsseldorf, sondern das Unispital erwischt hatten. Anderen Unternehmen bleibt nicht viel mehr, als zu bezahlen, um wieder Zugriff zu bekommen. Andernfalls drohen Angreifer oft mit der Veröffentlichung von erbeuteten Daten. Gefasst werden sie fast nie.

Seit 2015 ist klar: die Bedrohung ist real

Ein grosser und gezielter Eingriff in Energieinfrastruktur blieb bis 2015 ein eher theoretisches Szenario, dann fiel durch einen Cyberangriff der Strom in Teilen der Ukraine für mehrere Stunden aus. Wer dahintersteckte, ist bis heute nicht ganz klar, nur, dass die Angreifer sehr koordiniert vorgingen.

Das Risiko hat seither zugenommen. 2020 gab es weltweit eine «beachtliche Anzahl» von Hacker-Angriffen auf Energieinfrastrukturen, listet der Halbjahresbericht der Melde- und Analysestelle Informationssicherung (NCSC) des Bundes auf. In Algerien wurden vertrauliche Daten gestohlen, ein portugiesischer Energiekonzern sah sich mit einer hohen Lösegeldforderung konfrontiert, um seine Daten wiederzubekommen, in den USA lag im Februar eine Naturgasanlage still, bis die Schadsoftware entfernt war. Besonders im Fokus von Hackern stehen laut NCSC sogenannte Industrielle Kontrollsysteme (ICS). Ein Angriff auf diese spezielle Software erfordere jedoch ein vertieftes Know-How.

In der Schweiz seien 2020 keine Meldungen der Energieversorger über Angriffe auf ihre Systeme eingegangen, schreibt die NCSC auf Nachfrage. Die Behörde wertet Meldungen über Cyberangriffe in der Schweiz erst seit dem 1. Januar 2020 statistisch aus. Für 2019 liegen deshalb keine Zahlen vor. Insgesamt sind im ersten Halbjahr über 5‘000 Meldungen eingegangen. Eine Meldepflicht für Cyberangriffe auf Energieinfrastruktur gibt es nicht.  

Eine Frage des Aufwands

Während der Corona-Krise haben Cyberangriffe zugenommen, Sicherheitsbehörden in aller Welt haben sie aber schon seit vielen Jahren auf dem Bildschirm. Den Angreifern geht es um Ruhm, darum, sensible Daten zu erbeuten oder Lösegeld zu erpressen. Oder es stecken staatliche Akteure dahinter.

Schon vor vielen Jahren gelang es Hackern, in die Rechner des Pentagon und der NASA einzudringen. Woraus man zweierlei lernen kann: Nichts ist hundertprozentig sicher. Und: Es kommt auf Zweck und Aufwand an.

Ein nicht unbeträchtlicher Teil eines IT-Sicherheitskonzepts besteht darin, Eindringlingen das Leben so schwer wie möglich zu machen. Einzelpersonen oder kleine Gruppen kann das bereits abschrecken. Übersteigt der Aufwand den zu erwartenden Gewinn, lohnt sich die Sache nicht mehr. Hacking ist, so gesehen, nichts weiter als Arbeit.

Der Weg zu wichtigen Schaltstellen kann lang sein

Grössere, gut organisierte und finanzierte Gruppen können den Schnauf aufbringen, sich ihrem Ziel koordiniert und langsam zu nähern. In der Uniklinik Düsseldorf befand sich die bösartige Software bereits mehrere Monate im System, bevor die Angreifer zuschlugen.

Grob gesagt, gibt es in einer Netzwerkinfrastruktur nicht nur ein «Drinnen» und ein «Draussen», vielmehr mehrere «Drinnnens», die sich umeinander und nebeneinander schachteln. So können einige Angestellte aus dem Büronetzwerk vielleicht unter weiteren Sicherheitsvorkehrungen auf eine Steuerung zugreifen. Diese muss ein Angreifer zunächst überwinden. Oder er entwendet Daten, mit denen Zugriff aus einer anderen Richtung möglich ist.

Manchmal hat er dabei auch das Nachsehen. Im März 2020 gab der Verband der europäischen Übertragungsnetzbetreiber ENTSO-E bekannt, dass er Schadsoftware in seinem Büronetzwerk entdeckt habe. ENTSO-E hatte dabei eher Glück als Verstand. Eine Gefahr für die Stromversorgung bestand an diesem Punkt noch nicht.

Das grösste Sicherheitsrisiko ist der Mensch

Solche Angriffe zu verhindern, gleicht einem Wettrüsten. Schwachstellen gibt es auch bei grösster Vorsicht immer wieder, sei es in der Programmierung oder in den Abläufen. Die nächste noch unbekannte Sicherheitslücke, die ein Hacker gefunden hat, wird vielleicht gerade jetzt für viel Geld im Internet versteigert. Bekannt gewordene Lücken müssen behoben werden, zum Beispiel in Form von Software-Updates. Angreifer ersinnen laufend neue Schadsoftware, um an die wichtigen Schalthebel zu gelangen.

Eine der grössten Schwachstellen sind die Mitarbeiter. Schon eine unbedacht angeklickte Webpage oder ein Email-Attachment kann einem Angreifer den Weg ins Unternehmen ebnen. Dazu kommt vielleicht noch ein schwaches Passwort oder zögerlich gepatchte Rechner. Bis zum Zugriff auf kritische Infrastruktur hat ein Eindringling unter Umständen noch einen weiten Weg vor sich, aber der erste Schritt ist getan.

Ein Viertel der Energieversorger schätzte das Risiko 2017 als sehr hoch ein

Vor allem die grossen Energiekonzerne geben sich Mühe, ihre Infrastruktur bestmöglich zu schützen, und schulen dabei auch ihre Mitarbeiter. Kleinere Netzbetreiber tun sich schwerer. Ein Viertel sei nicht genügend geschützt, fand der «Tagesanzeiger» 2019. Ein Fünftel der Schweizer Stromversorger war laut der Eidgenössischen Elektrizitätskommission ElCom 2017 von Cyberangriffen betroffen. Laut Statista schätzte im selben Jahr fast ein Viertel von 83 befragten Schweizer Energieunternehmen die Gefahr von Stromausfällen durch Cyberattacken als «sehr hoch» ein.

Gleichzeitig wird die Vernetzung der Energieversorger immer vielfältiger und der IT-Überbau wächst, die Angriffsfläche wird damit grösser. Neu sind zum Beispiel Stromzähler, die den Verbrauch intelligent anpassen und in beiden Richtungen kommunizieren können. Das macht sie anfällig für Angriffe.

Nicht nur eine nationale Aufgabe

Eine Einschätzung, was im Fall eines erfolgreichen Angriffs passieren kann, ist naturgemäss schwierig. Fällt ein einzelnes Unterwerk oder Umspannwerk aus, sorgt das vielleicht für einen lokal begrenzten Stromausfall. Es kann einige Stunden dauern, bis der Stromversorger die Lücke geschlossen hat. Sind grössere Strukturen betroffen, kann es dauern. Die Hacker in der Ukraine zerstörten 2015 absichtlich wichtige Dateien, um das Wiederanfahren zu verzögern.

Eine Studie der Universität Oxford zur Cybersicherheit in der Schweiz gibt der Schweizer Regierung gute Noten, was die rechtlichen und gesellschaftlichen Bedingungen betrifft. Die Stromversorgung betrifft aber längst nicht mehr ein Land allein. Europäische Energielieferanten sind untereinander stark vernetzt. Es könnte die Energieversorgung der Schweiz also auch dann treffen, wenn anderswo sabotiert wird. Umgekehrt wäre eine Störung der Energiedrehscheibe Schweiz auch für andere Länder ein Problem.