Am 23. Dezember 2015 ging in Teilen der Ukraine das Licht aus: Hacker hatten dort nach monatelangen Attacken das Stromnetz für mehrere Stunden unter ihre Kontrolle gebracht. Der Angriff war ausgefeilt und hätte sich so auch gegen Kernkraftwerke richten können, erklärt Page Stoutland von der Nuclear Threat Initiative in Washington DC., der an der aktuellen Studie beteiligt war:
"Durch Cyberattacken auf Nuklearanlagen könnte Radioaktivität freigesetzt werden. Aufgrund der Komplexität dieser Anlagen ist es schwierig zu gewährleisten, dass es keine Sicherheitsverstöße gibt und alle Maßnahmen zur IT-Sicherheit getroffen worden sind."
Großteil der Nuklearanlagen unzureichend geschützt
Die Mehrzahl der heute betriebenen Nuklearanlagen stammt aus Vor-Internet-Zeiten, als Leiterplatten logische Schaltungen realisierten, Sensoren und Aktoren überwachten und steuerten und Cyber-Attacken unmöglich waren. Doch die Zeiten haben sich geändert:
"Aus guten Gründen, unter anderem wegen der Kosten, aber auch wegen der Zuverlässigkeit, werden diese alten Systeme zunehmend durch neue, digitale ersetzt. Und außerdem sind einige der Kernkraftwerke, die derzeit gebaut werden, von vorne herein digitalisiert. Hacker können die Anlagen also angreifen und für Sicherheitsprobleme sorgen."
Die Bedrohungslage verschärfe sich, urteilt Page Stoutland. Der Stuxnet-Wurm etwa griff ein speziell entwickeltes Kontrollsystem für die Zentrifugen in einer iranischen Urananreicherungsanlage an. Entwickelt worden war er wohl von US-amerikanischen und israelischen Experten: Ein staatlicher Angriff, der verhindern sollte, dass der Iran Atomwaffen produziert. Es war die Speerspitze des Hackings - damals:
"Uns beunruhigt, dass es inzwischen sehr gute, sehr erfahrene Hacker gibt, die Angriffe durchführen können, die vor ein paar Jahren Geheimdiensten vorbehalten waren. Und sie werden in vier, fünf Jahren noch besser sein. Wir unterschätzen wahrscheinlich die Herausforderungen, die da auf uns zu kommen."
Abwehrmaßnahmen weiterentwickeln
Dementsprechend müssten die Abwehrmaßnahmen weiterentwickelt werden, erklärt Page Stoutland. Ein Weg: aktive Verteidigungsstrategien:
"Das heißt nicht, dass wir zurückhacken. Vielmehr bedeutet aktive Verteidigung, dass wir Leute haben, die schnell feststellen, ob Hacker eingedrungen sind, wer sie sind, was sie wollen, sie aus dem Netzwerk werfen und sicherstellen, dass nichts Schwerwiegendes passiert ist. Firewalls und Ähnliches reichen nicht mehr aus, sondern wir brauchen eine aktivere Verteidigung."
Ein weiterer Punkt, der die Angreifbarkeit verringert: Die digitalen Komponenten sollen nicht mehr können als unbedingt notwendig:
"Die Systeme sollten so einfach wie möglich sein. Heute haben viele Komponenten sehr viel mehr Funktionen als nötig und werden eingekauft, weil es billige Konsumartikel sind. Das macht Hackern den Weg frei. Nuklearanlagen sollten so einfach wie möglich sein. Das erleichtert den Verteidigern die Arbeit, weil sie besser simulieren können, was bei einem Angriff passiert. Das stärkt die IT-Sicherheit."
Bei wirklich kritischen Sicherheitssystemen sollten nur speziell für den Kunden entwickelte Komponenten eingebaut werden - und vielleicht sollten einige ausgewählte Bauteile analog bleiben oder wieder werden.
"Derzeit besitzen wir noch nicht die technischen Ansätze, um das Problem mit den Cyber-Attacken zu lösen. Wir empfehlen deshalb die Forschungen auf dem Gebiet unhackbarer Systeme weiter zu verfolgen, also von Systemen, die gegen Angriffe weitgehend immun sind."
Forschungen zu Cyber-Attacken ausbauen
Vielleicht sei man damit in fünf oder sechs Jahren so weit, und das helfe der gesamten Industrie, urteilt Page Stoutland.
