Sie sind hier:

Große Sicherheitslücken - Digitale Angriffe: Bedingt abwehrbereit

Datum:

An der Uni Gießen sind die Computer offline. Die Stadtverwaltung Frankfurt startet ihre IT-Systeme nach einer Phishing-Attacke neu. Wie sicher ist unsere IT-Infrastruktur?

Symboldbild "Hackerangriff"
Symboldbild "Hackerangriff"
Quelle: dpa

Sorgen machen den IT-Sicherheitsexperten gutgläubige Mitarbeiter, veraltete Industriesteuerungen und zu nachlässig programmierte Software. Gleichzeitig werden die digitalen Angriffe auf Energieversorger, Wasserwerke, Verkehrsleitsysteme und Krankenhäuser vielfältiger und effizienter.

Viel Glück gehabt

Die meisten Security-Forscher stimmen darin überein, dass Deutschland bisher einfach viel Glück gehabt hat. Digitale Angriffe haben bis zum heutigen Tage nur mäßige Schäden anrichten können.

Das hängt allerdings auch damit zusammen, dass Deutschland in Sachen Digitalisierung weltweit eher auf den hinteren Rängen zu finden ist. Bisher hat die unzureichende Vernetzung die Deutschen oftmals geschützt.

Das gilt allerdings nicht für alle Bereiche. So sind Angreifer in der Vergangenheit über die recht offenen Netzwerke an Universitäten auch schon in das Krankenhausnetz der Uni-Klinik gelangt und haben dort medizinische Studien abgegriffen und regelrechte Industriespionage im pharmazeutischen Bereich getrieben.

Ein Überblick über die meistgefährdeten Bereiche und Sicherheitsmaßnahmen:

  • Gesundheitssektor ist hochgradig unsicher

Mehrere Krankenhäuser mussten sich nach einem Trojanerangriff für einige Tage von der Notfallversorgung abmelden. "Darüber hinaus haben wir in Deutschland namhafte Fälle gehabt, in denen in Kliniksystemen unbefugt auf Krankendaten zugegriffen wurde", berichtet Hans-Peter Bauer, Chef des Sicherheitsunternehmens McAfee in Deutschland.

In einigen Fällen wurden erbeutete Behandlungsunterlagen für Erpressungsversuche eingesetzt. "In einem Fall wurde sogar ein Erpressungsschreiben mit seinen Gesundheitsdaten an einen Politiker geschickt", erklärt Sicherheitschef Bauer.

Arztpraxen, Ambulanzen, Tageskliniken und medizinische Forschungseinrichtungen sind genauso im Visier der Cyberangreifer wie Krankenhäuser. Dass hier dringend nachgebessert werden muss in Sachen IT-Sicherheit, wird zunehmend auch unter Gesundheitspolitikern diskutiert. Allein - es fehlt das Geld.

Außerdem sind die meisten Praxissysteme zu einer Zeit entstanden, als von einer Anbindung der Arztpraxen ans Internet noch gar nicht die Rede war. Auch hier muss nachgerüstet werden.

  • Gelbe Sicherheitsampel in der Energieversorgung

Während der vergangenen Jahre ist in den Büronetzwerken mehrerer Energieversorger Schadsoftware gefunden worden. Das Bundesamt für Sicherheit in der Informationstechnik hat einige offizielle Warnmeldungen herausgegeben.

Das größte Risiko liegt in den Übergängen von den Verwaltungsnetzwerken zu den Computersystemen der Netzwarten. Außerdem muss die Software für die Steuerungssysteme der Stromnetze dringend erneuert werden. Die sind vor 20 bis 30 Jahren entwickelt worden.

"Für diese Softwaremodernisierung fehlen in Deutschland etwa 24.000 Softwaretester", hat der Softwaretester Harry Sneed berechnet.

Besser sieht die Situation in deutschen Kernkraftwerken aus. Denn die Reaktoren werden tatsächlich noch von Menschenhand im Kontrollraum gesteuert. Und dafür betätigen die Mitarbeiter in den KKW-Kontrollräumen tatsächlich noch Knöpfe und legen Schalter um.

Lediglich bei den Kühlmittelpumpen hat sich die Situation seit dem Jahr 2010 verschlechtert. Denn seitdem werden die Ventile der Kühlmittepumpen zunehmend von digitalen Motorsteuerungen geregelt.  Die sind für Schadsoftware anfällig.

Sorgen machen den Sicherheitsexperten die französischen, belgischen und britischen Kernkraftwerke. Die sind nämlich hochgradig vernetzt, deren Leitstellenrechner hängen teilweise am Internet und sind nicht ausreichend gesichert.

  • Vorgetäuschte Sicherheit bei Banken

Seit dem sogenannten Bangladesch-Hack im Februar 2016 ist klar, wie anfällig das Transaktionsnetzwerk SWIFT ist. Damals hatten Online-Kriminelle 81 Millionen Dollar erbeutet. Die IT-Sicherheitsexperten der Banken machen allerdings geltend, dass von 35 Überweisungen auf die Konten der Kriminellen nur fünf erfolgreich gewesen seien.

Auch Geldautomaten bieten noch immer Angriffsstellen in Deutschland. Noch immer sind deren Wartungsschnittstellen teilweise öffentlich zugänglich. Cyberkriminelle haben einen USB-Stick mit einer selbstausführenden Schadsoftware an die entsprechende Wartungsschnittstelle angeschlossen. So konnten sie Viren und Trojaner in die Bankensysteme einschleusen.

Auch beim Online-Banking kommt es immer wieder zum Abschöpfen von Kontoinformationen und PINs. Da die Banken die entstandenen Schäden bislang aber in aller Regel recht großzügig regulieren, wird dieses Thema kaum öffentlich diskutiert.

  • Verkehrsleitsysteme als unbekannte Größe

Zahlreiche Sicherheitslücken in den europäischen Systemen für die automatische Zugkontrolle hat sich der IT-Sicherheitsspezialist Sergey Gordeychik angesehen. Er kommt zu dem Schluss: "Das Sicherheitsniveau ist grauenhaft".

Zugangsdaten zu den Steuerungsrechnern hat er beispielsweise auf Post-It-Notizzetteln gefunden, die direkt an den Bildschirmen in den Stellwerken klebten. Dennoch hat es bisher kaum sicherheitsrelevante Zwischenfälle gegeben.

"Offenbar klappt die Zugangskontrolle bei den Stellwerken", meinte Gordeychik auf einer Hackerkonferenz. Zudem sind die Steuerungsrechner für den Bahnbetrieb physikalisch von anderen öffentlich zugänglichen Netzen getrennt.

Größere Gefahren erwartet Gordeychik vom selbstfahrenden Auto. Denn über manipulierte Trainingsdaten könne die selbstlernende Software zu falschen Entscheidungen im Fahrverhakten veranlasst werden. Doch das sei für den Alltagsbetrieb noch Zukunftsmusik.

Auch Verkehrsunfälle durch manipulierte Ampeln sehen die Sicherheitsexperten bisher nicht als große Gefahr an. Der Grad der Vernetzung sei hier noch zu gering. Deshalb könne auch nicht die Ampelinfrastruktur einer ganzen Stadt mit einem Schlag ausgeschaltet werden, sondern lediglich einzelne Kreuzungen oder Kreuzungszüge.

Das aber setzt einen recht hohen Aufwand für den Angreifer voraus. Deshalb hat sich hier nach Einschätzung von Sicherheitsforschern auch noch kein Geschäftsbereich der organisierten Kriminalität etabliert.

  • Bundeswehr muss bei IT-Sicherheit nachbessern

Seit der Bundesrechnungshof im Jahr 2016 bei IT-Systemen der Bundeswehr zahlreiche Sicherheitslücken gefunden hat, ist zwar das gesamte Zugriffs- und Berechtigungssystem auf den Prüfstand gestellt worden.

Die Vergabe von sogenannten sehr weitgehenden Administratorenrechten wurde zum Beispiel massiv eingeschränkt. Protokolldaten, die belegen, wann wer auf welche Datenbestände zugegriffen hat, können nicht mehr ohne weiteres gelöscht werden.

Massives Kopfweh machen dem Leitungsstab in Berlin aber Sicherheitslücken in den Einzelnen Waffensystemen vom Panzer bis zur Fregatte. Hier ist hoher Testaufwand erforderlich. Die hochfliegenden Digitalisierungspläne aus dem Verteidigungsministerium bereiten der Truppe im Alltag große Probleme.

Gemerkt auf Mein ZDF! Merken beendet Bewertet! Bewertung entfernt Zur Merkliste hinzugefügt! Merken beendet Embed-Code kopieren HTML-Code zum Einbetten des Videos in der Zwischenablage gespeichert.
Bitte beachten Sie die Nutzungsbedingungen des ZDF.

Um zu verstehen, wie unsere Webseite genutzt wird und um dir ein interessenbezogenes Angebot präsentieren zu können, nutzen wir Cookies und andere Techniken. Hier kannst du mehr erfahren und hier widersprechen.

Um Sendungen mit einer Altersbeschränkung zu jeder Tageszeit anzuschauen, kannst du jetzt eine Altersprüfung durchführen. Dafür benötigst du dein Ausweisdokument.

Du wechselst in den Kinderbereich und bewegst dich mit deinem Kinderprofil weiter.