Es ist beeindruckend, welche Wellen der Cyberangriff auf den fanzösischen Fernsehsender TV5Monde geschlagen hat. Zurzeit werden zahlreiche Sendungen dem Thema gewidmet, als würde es sich um eine ganz neue Qualität der Angriffe handeln. Tatsächlich war dieser Angriff allerdings völlig unbedeutend.
Klar, es war ein Angriff der von der Öffentlichkeit erstmals hautnah miterlebt werden konnte, aber neu ist das längst nicht. Niemand ist dabei zu Schaden gekommen, es wurde unschöne Propaganda verbreitet. Das ist aber auch schon alles.

Spielen wir einmal folgendes Gedankenexperiment durch: Ein Hacker verschafft sich Zugang zu den wichtigsten Knotenpunkten des Stromnetzes. Das häufig als intelligent angepriesene Stromnetz muss dank der Energiewende flexibel reagieren können, ist aber in der Folge auch entsprechend störanfällig für Ausfälle. Nun gelingt es einem Hacker einige der wichtigsten Leitungen abzuschalten. Es könnte zu Stromausfällen in großen Teilen Europas kommen. Eventuell wären wir tagelang ohne Strom. Keine Kühlung verderblicher Waren, keine Straßenbeleuchtung, die Steuerung für unsere Gasheizung funktioniert nicht mehr und die Pumpen für die Wasserversorgung sind auch ausgefallen. Schnell zur Tankstelle fahren und Reservekannister für das Notstromaggregat füllen? Fehlanzeige! Auch hier kann kein Kraftstoff aus den unterirdischen Tanks gepumpt werden. Telefon und Internet funktionieren nicht mehr – die Koordination der nötigen Reparaturen und der vorher zwingend erforderlichen Ursachenermittlung läuft nur schleppend an.

Alles nur ein Schreckenszenario? Bereits vor etwa einem Jahr hat das Projekt Netwars, dessen Dokumentation auf Arte ausgestrahlt wurde gezeigt, wie anfällig moderne Energieversorger für Cyberangriffe sind. Bereits nach 2 Tagen gelang es einem Hacker in das Netz einzudringen, sodass er auf die Steuerung des Stromnetzes zugreifen konnte. Wer sich für die Dokumentation interessiert, findet sie in voller Länge auf YouTube.

https://www.youtube.com/watch?v=yQ1ls86m6D4

Seitdem sollte eigentlich jedem klar sein, wie verwundbar moderne Netze sind. Allerdings werden sich nur Wenige über das Thema informiert haben und auch kaum jemand wird wachgerüttelt worden sein.

Auch der WDR ließ es sich in seiner Sendung Morgenecho nicht nehmen in einem etwa 8 Minütigen Beitrag über das Thema zu berichten und dazu den Pseudosicherheitsexperten Peter Welchering unter anderem zur IT Sicherheit in der ARD zu befragen.

Nun wäre davon auszugehen, dass ein Sicherheitsexperte sagen würde, dass er den Aufbau des Netzwerkes zunächst differenziert betrachten müsse, damit sich eine konkrete Aussage treffen ließe. Stattdessen beruhigt er die Zuhörer damit, dass die ARD Runfunkanstalten dezentral aufgebaut sein und ein vergleichbarer Angriff somit deutlich schwieriger sei. Es sei viel wahrscheinlicher, dass Angriffe auf die SmartTVs in deutschen Wohnzimmern stattfänden und einfach ein falsches Bild über das tatsächliche Video gelegt werde.

Ich bin kein voll ausgebildeter IT Experte, allerdings kann ich diese Frage trotzdem differenzierter beantworten. Welchering behauptet, dass die ARD Rundfunkanstalten nicht vernetzt seien.
Mir sei es gestattet an dieser Stelle die Vermutung einzustreuen, dass beispielsweise die Verwaltungsnetze sehr wohl vernetzt sein werden, allein schon, weil der Leiter der ARD auch gleichzeitig Intendant einer der ARD Rundfunkanstalten ist. Aus diesem Grund muss er sich auch in die Netze der ARD verbinden können, womit eine vermeintliche Vernetzung aller ARD Rundfunkanstalten einhergeht.

Dann gibt es aber einen Punkt, den ich klar belegen kann. Zwischen 20:00 Uhr und 20:15 Uhr läuft im Ersten die Tagesschau. Sie wird allerdings auch von anderen Sendern wie eben dem WDR, 3sat, RBB oder dem SWR ausgestrahlt. Dabei handelt es sich meistens um die Originalfassung, teilweise aber auch um Fassungen mit Gebärdensprache oder Untertiteln.
Was will ich damit sagen? Um eine gleichzeitige Ausstrahlung der selben Live Sendung zu erreichen, ist es von essentieller Relevanz, dass allen Sendern das selbe Signal vorliegt. Das kann sowohl über Satellit, als auch über das Internet erfolgen, was an dieser Stelle aber völlig irrelevant ist.
Dringt ein Hacker in das Studio der Tagesschau ein, so kann er immerhin 15 Minuten auf zahlreichen Kanälen reinste Propaganda senden. Kritiker meiner Meinung werden jetzt vielleicht sagen, dass es sich aber eben nur um 15 Minuten handelt. Dem kann ich grundsätzlich nur zustimmen, aber zum einen würde ein solcher Angriff zur besten Sendezeit stattfinden und zum anderen würden es die Tagesschau oder die öffentlich rechtlichen Sender hoffentlich innerhalb weniger Minuten schaffen die Übertragung abzuschalten.

Spätestens um 20:15 Uhr würde dann aber wieder normal gesendet werden können, vorrausgesetzt, dass das Fernsehprogramm nicht vorsichtshalber auch auf allen anderen Sendern unterbrochen wird.
Aber zeigt nicht genau das, wie unbedeutend der Angriff auf TV5Monde eigentlich war? Der Sender konnte nicht senden – ja und? Es ist doch nichts passiert! Gleiches würde gelten, wenn eben mal ein paar Minuten Propaganda gesendet werden würde. Die Übertragung würde zur Not durch Abschalten des Stroms beendet und der Bildschirm wäre schwarz.

Vielmehr sollte die Aktion nun ein deutlicher Schuss vor den Bug unserer naiven Gesellschaft sein. Es sollte endlich mal ein Sicherheitsbewusstsein aufgebaut werden und verstanden werden, dass es eben Systeme gibt, die nicht ans Internet gehören.
Dazu gehören auch Einrichtungen wie Kraftwerke oder Stromleitungen. Wird nichts getan, so bin ich mir sicher, dass spätentens nächstes Jahr mal ein Angriff auf wichtigere Infrastruktur stattfinden wird, und dann hoffe ich, dass es nicht ein Atomkraftwerk erwischt, sondern nur das Stromnetz.

Terroristen haben erkannt, dass es nicht mehr nötig ist aufwändig geplante Bombenanschläge oder Flugzeugentführungen durchzuführen. Heute sind wir alle viel verwundbarer. Wen hat hier schon der Anschlag auf das World Trade Center oder auf Charlie Hebdo betroffen? Natürlich waren die meisten schockiert, aber betroffen hat uns nichts davon. Aber was wäre, wenn plötzlich im ganzen Land der Strom ausfällt? Bereits ein ausgefallenes Fernsehbild hat gezeigt, welche Wellen plötzlich losgetreten werden, nur um zu behaupten es handle sich um etwas neues.

Im Gegensatz zu Sandro Geycken, der ebenfalls in der oben eingebunden Dokumentation vorkommt, habe ich auch konkrete Vorschläge anstatt nur die Forderung, wir müssten einfach neue, sichere Computer bauen.
Völlige Sicherheit kann der Mensch niemals erreichen. Egal ob im Internet oder in der Realität. Immer wieder brechen Häftlinge aus Gefängnissen aus, Einbrecher schaffen es durch Sicherheitsfenster und auch die Mauer der DDR hat nicht ewig gehalten.
Es ist nicht möglich Sicherheit und das Internet zu vereinen. Stattdessen muss sensible Infrastruktur auch eigene Kommunikationssysteme schaffen, die nicht, auch nicht über pseudo-sichere Systeme wie VLAN fähige Switche verbunden sind.
Nur ein eigenes, auch in Übertragungswegen vollständig vom Internet isoliertes Netzwerk, dass nur für Infrastruktur wie Kraftwerke zugänglich ist, kann noch eine akzeptable Sicherheit für selbige bieten.

Mir war das Ganze nicht neu. Auch im Rahmen meiner Arbeit als Webmaster für die Homepage der Schülerzeitung ist mir bereits als 13-Jähriger oft klar geworden, dass ein Grundverständnis für IT Sicherheit einfach fehlt. Völlig unfähige Administratoren – auch Lehrer genannt – verwalten Schulhomepages und Netzwerke. Mehrfach habe ich vor möglichen Hackerangriffen gewarnt, jedoch hieß es immer, da wird nichts passieren. Solange bis dann tatsächlich ein Angriff stattfand. Daraufhin wurde die Homepage erneuert, meinen Sicherheitsbedenken wurde endlich Beachtung geschenkt und für eine kurze Zeit war die Homepage sicher. Doch – wer hätte das erwartet, inzwischen habe ich die Schule gewechselt. Damit ist der unbequeme Nerd verschwunden und sie selben Fehler werden erneut begangen – auch für mich als Außenstehender zu erkennen.
Gleiches galt für das Schulnetzwerk. Es ist aufgebaut wie wohl in den meisten Schulen. Jeder Schüler erhält einen Benutzernamen und ein Passwort und kann sich damit an jedem Rechner anmelden. Nur blöd, dass es Benutzer wie timtest gibt, die mit einfachen Passwörtern versehen oder sogar ganz ungeschützt sind. Offenbar wurde schlichtweg vergessen, die Nutzer nach der Einrichtung des Systems zu löschen. Auch Zugänge von Lehrern, die längst im Ruhestand sind oder an andere Schulen versetzt wurden, sind noch vorhanden. Habe ich als Schüler einmal ein entsprechendes Passwort bin ich also in einem wichtigen Teil des Systems, auf den ich hier aber nicht weiter eingehen werde.

Das zeigt, dass IT Sicherheit nicht mal unbedingt teuer sein muss. Teilweise mangelt es schon an den wesentlichen Dingen wie fehlenden Passwörtern oder nicht aktualisierten Programmen. Damit möchte ich TV5Monde selbiges natürlich nicht unterstellen, aber teilweise ließen sich Sicherheitslecks schon durch geringen Aufwand beheben. Viel Geld in dem Glauben eine hohe Sicherheit erreichen zu können in die Hand zu nehmen hilft ohnehin nicht. Jedes System ist verwundbar, die Frage ist nur wie leicht.

Das ich für diesen Beitrag einiges an Kritik einstecken werden muss, sollte er weitere Verbreitung finden, ist mir durchaus bewusst. Alle Kritiker sind natürlich herzlich dazu eingeladen ihre Meinung über die Kommentare zu veröffentlichen, gerne auch deutlich technisch fundierter als in diesem Beitrag. Ich habe ihn bewusst versucht möglichst verständlich und damit auf technischer Ebene oberflächlicher zu halten.