Pictures of the Future    Herbst 2007

Hohe Hürden für Hacker

Viele Industrieanlagen sind mit dem Internet verbunden und verwenden Standardsoftware. Sie sind damit ein potenzielles Ziel für Hacker. Siemens macht diese Systeme sicherer.

In der Fabrik läuft alles wie am Schnürchen: Ein roter Roboter bewegt Autokarosserien präzise zur nächsten Arbeitsstation, wo schon die Monteure warten. Auch der IT-Verantwortliche ist zufrieden. Er hat seinem Betriebsleiter versichert, dass die Steuerung der Roboter gegen Hackerangriffe geschützt ist: "Wir haben starke Passwörter, sichere Verschlüsselungen und eine undurchlässige Firewall." Der Mann irrt: Gerade dringt ein Hacker in das System ein. Mit einer simplen Google-Suche gelangt er auf die Homepage der Betriebssteuerung. Er versucht es mit ein paar einfachen Passwörtern, ohne Erfolg. Dann startet er eine so genannte SQL-Injection. Statt eines Passworts kopiert er in die Eingabemaske einen kurzen Programmcode und manipuliert die Datenbank, in der die sicherheitsrelevanten Informationen gespeichert sind, so dass sie das Schloss ohne Schlüssel öffnet. Jetzt geht alles ganz schnell: Der Hacker findet die Steuerung der Produktionsstraße und stoppt den Roboter. Der bricht in der Bewegung ab, öffnet den Greifer und lässt das schwere Karosserieteil fallen, direkt auf einen Arbeiter.

Raunen im Saal, das Licht geht an. 300 Zuhörer der internen Hausmesse im Februar 2007 sind geschockt, wie leicht Dr. Konstantin Knorr die Produktionssteuerung der Fabrik lahm legen konnte – und sind froh, dass der Roboter bloß aus einem Spielzeugbaukasten stammt und der Arbeiter ein Playmobilmännchen ist. "Der Aha-Effekt ist trotzdem groß", sagt Knorr, der mit der Demo an das Sicherheitsbewusstsein seiner Kollegen appellieren will. Knorr ist einer von etwa 70 Mitarbeitern der Siemens Corporate Technology (CT) in München, die Siemens-Bereiche in Sicherheitsfragen beraten. Wer an diesem Thema arbeitet, muss keine Hacker- oder gar Knastkarriere vorweisen, sondern einen guten Studienabschluss, "und einen hohen moralischen Anspruch", sagt Dr. Johann Fichtner, Leiter des CERT-Fachzentrums.

Das Ziel von CT ist es, das Bewusstsein für Sicherheit in der Informationstechnologie zu schärfen und die sichere Planung zukünftiger Produkte zu unterstützen – daher die Demonstrationen. Die Anforderungen sind nicht nur bei Siemens in den vergangenen Jahren deutlich gestiegen. Wo Steuerungen von Produktionsstraßen oder Kraftwerken früher völlig von der Außenwelt abgekoppelt waren und Spezialisten eigens dafür entwickelte Software nutzten, arbeiten heute Steuerungssysteme zunehmend mit Standardsoftware wie Windows oder Datenbanken von der Stange und sind, etwa für Wartungszwecke, mit dem Internet verbunden. Dies erhöht das Risiko von externen Angriffen. Außerdem sind die Abschreibungsfristen in Produktionsbetrieben, Kraftwerken oder Kliniken länger und die IT wird nicht alle drei bis fünf Jahre ausgetauscht wie bei Büro-PCs. Daher stehen nicht immer die neuesten Sicherheits-Updates zur Verfügung.

Robuste IT bei Energieübertragung. Wie wichtig Cybersecurity bei sicherheitskritischen Anlagen ist, beweist der Ausfall eines Systems im Kernkraftwerk Davis-Besse im US-Bundesstaat Ohio. Am 25. Januar 2003 war der Internetwurm Slammer ins IT-Netz eingedrungen und hatte Teile davon fast fünf Stunden lahmgelegt – glücklicherweise ohne Folgen, denn das Kraftwerk war wegen Reparaturen abgeschaltet. Die Attacke nutzte eine Sicherheitslücke in einer Datenbank, gegen die Microsoft sechs Monate zuvor ein Update veröffentlicht hatte – was die Programmierer der Steuerungssoftware für das Kraftwerk leider übersahen.

Um solche Pannen bei Siemens-Produkten zu vermeiden und diese robust gegen Hackerattacken zu machen, bietet die Siemens-Forschung, zu der Fichtners Team gehört, ausgeklügelte Hilfen für alle Siemens-Bereiche an – zum Beispiel für den Bereich Energieautomatisierung bei Power Transmission and Distribution (PTD) in Nürnberg, wo sich Bernd Nartmann als Produktmanager unter anderem um Sicherheitsfragen kümmert. Vor zwei Jahren hat Nartmann das CERT beauftragt, im gesamten Produktportfolio mögliche Einfallstore für Hackerangriffe aufzuspüren. Die Prüfung war nötig geworden, weil die Kunden – meist große Energieversorgungsunternehmen – für die Datensammlung und für die Übertragung von Schaltbefehlen zunehmend öffentliche Kommunikationsnetze benutzen. Zum Teil sind Komponenten wie Schalt- oder Sicherungsmodule von Hochspannungsanlagen schon 30 Jahre im Einsatz, "aber damals konnte natürlich niemand ahnen, dass man sie einmal per Internetprotokoll steuern wird", sagt Nartmann. Die Automatisierungsexperten haben mit Hilfe der Fachleute des CERT das Sicherheitsniveau der Produkte deutlich erhöht, die damit wichtige Normen erfüllen.

Nachträglich diese Lücken zu schließen, kann allerdings immens teuer werden. "Wir setzen bereits in der Produktentwicklung an" sagt Dr. Stephan Lechner, Leiter des Fachzentrums IT Security bei Corporate Technology. "Wir analysieren die Systemarchitektur geplanter Produkte und suchen mögliche Sicherheitslücken." Das Fachzentrum simuliert zu diesem Zweck das gesamte System als mathematisches, abstraktes Modell. Darin lassen die Experten dann mathematische und logische Aufgaben ablaufen, mit denen Lücken aufgedeckt werden können. "Zudem zeigen uns die Ergebnisse, wo Handlungsbedarf besteht", beschreibt Lechner die Vorgehensweise seines Teams.

Die Sicherheitsfachleute von Corporate Technology werden mittlerweile immer öfter in der Produktentwicklung und bei der Beschaffung von Zulieferteilen zu Rate gezogen. "Bei diesem sensiblen Thema ist ein gutes Vertrauensverhältnis sehr wichtig, aber auch ein sehr gutes Know-how der gesamten IT-Sicherheitslandschaft", sagt PTD-Experte Nartmann und ergänzt: "Siemens ist hier eindeutig führend, das bestätigen auch die Anfragen von Kunden."
                                                                                                                    Bernd Müller