Interview Stuxnet / Security
»Industrial Security ist kein Science-Fiction-Thema!«
Fortsetzung des Artikels von Teil 1
Schwachstelle Leichtgläubigkeit?
Ist vielleicht auch die Leichtgläubigkeit der Unternehmen eine Schwachstelle? Zum Beispiel Dienstleister, die eine Firewall verbieten, weil sich diese nicht mit ihrer Fernwartungssoftware verträgt?
Rössel: In der Regel sind die meisten Betreiber im Bezug auf Fernzugriffe eher konservativ und wenn, dann verlangen sie von den Dienstleistern relativ hohe Sicherheitsstandards, um das Einschleppen von Schädlingen zu vermeiden. Letzteres geschieht meist ja nicht böswillig, sondern unwissentlich. Das kann passieren, wenn z.B. die von den Fernwartern oder Servicetechnikern verwendeten Systeme infiziert sind und der Schädling – so wie im Fall Stuxnet – sogar bei korrektenr Virensoftware unentdeckt bleibt. Das würde ich aber nicht in der Rubrik Leichtgläubigkeit abbuchen, sondern das sind Schwachstellen, die mit konventionellen Mitteln nicht zu verhindern waren. Deswegen ist Industrial Security so wichtig: Die Systeme fortlaufend auf Integrität zu überwachen, weil eine Infektion nicht zu 100 Prozent ausgeschlossen werden kann.
Wie Sie sagten, wurde das Virus zwölf Monate lang nicht entdeckt. Aber es wurden auch keine großen Schäden gemeldet. Kann hier nicht von einer »Hysterie« gesprochen werden, die ausgebrochen ist?
Rössel: Es ist kein offiziell dokumentierter Schaden entstanden. Es gibt auch keine öffentlichen Bestätigungen dafür, dass das vermeintliche Ziel – das iranische Atomprogramm – wirklich getroffen wurde. Es gibt auch keine öffentlich bestätigten Meldungen, dass andere Anlagen betroffen waren. Mir liegen aber Aussagen vor, dass z.B. in Anhörungen vor dem amerikanischen Kongress und im Heimatschutzministerium über tatsächliche Schädigungen von Anlagen in den USA berichtet wurde. Daher würde ich davon ausgehen, dass es – wenn auch nicht öffentlich bekannt – neben Infektionen auch zu Schädigungen durch Stuxnet gekommen ist. Ich will auch nicht von einer Hysterie sprechen, sondern von einer berechtigten Verunsicherung und Besorgnis, nicht nur bei den Herstellern, sondern auch bei den Anlagenbetreibern. Im Grunde nehmen sie durch Stuxnet zum ersten Mal wahr, dass Industrial Security kein Science-Fiction-Thema ist, sondern eine reale technische Bedrohung darstellt.
Bisher war nur Siemens betroffen. Gibt es schon oder wird es Viren für Steuerungen anderer Hersteller geben?
Rössel: Bekannt sind solche bislang nicht. Die Experten-Szene rechnet aber mit sehr hoher Wahrscheinlichkeit damit, dass Nachahmer Mutationen von Stuxnet in Umlauf bringen werden, die sich der gleichen Basistechniken zur Verbreitung bedienen, aber auch durchaus auf Systeme und Produkte anderer Hersteller ausgerichtet sein könnten. Auch in der Wahl ihrer Ziele könnten diese sehr viel weniger wählerisch vorgehen als das Stuxnet mit seinem sehr speziell definierten Ziel getan hat.
Was würden Sie Anlagenbetreibern und Automatisieren raten?
Rössel: Es ist wichtig und lohnend, in Industrial Security zu investieren. Es sind Mittel verfügbar, mit denen sich bestehende Automatisierungsanlagen nachrüsten lassen und die nicht nur beim Neubau von Anlagen funktionieren. Diese Mittel dämmen einerseits die Ausbreitung solcher Schädlinge ein und andererseits dienen sie der zeitnahen und zuverlässigen Überwachung, um nicht wie im Falle Stuxnet zwölf Monate lang völlig blind und unwissend diesen Bedrohungen ausgeliefert zu sein.
- »Industrial Security ist kein Science-Fiction-Thema!«
- Schwachstelle Leichtgläubigkeit?
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
Cloud Computing
Cloud-Speicher als Einfallstor für Malware
Für Navigationsgeräte und Co
Software-Updates sicher verschlüsselt
Sicherheit
Kaspersky warnt vor fingierten Antiviren-Programmen
Forschungsprojekt SeSaM
Sicherheit: Raus aus der US-Abhängigkeit
Security
Zielgerichtete Viren-Attacken sind zu befürchten
Medienberichte zu Stuxnet
Gemeinsam entwickelt, in Israel getestet
Siemens hat den Trojaner »Stuxnet« isoliert und…
Trojaner »Stuxnet« geht außerordentlich gezielt vor
