Deutschland.exe funktioniert nicht mehr

Starkregen über Hamburg. Die Elbe tritt über die Ufer, Straßen sind überschwemmt, Geschäfte sind geschlossen: eine verhältnismäßig harmlose Katastrophe. Wer in Hamburg wohnt weiß, dass das zwei bis drei mal im Jahr passieren kann. Dennoch könnte sich dieses scheinbar ungefährliche Szenario zu einer Krise immensen Ausmaßes entwickeln.

Wenn ein Unwetter über Hamburg hereinfällt, sorgen Gullis, Abwasserkanäle, Kläranlagen und Staubecken- und Seen dafür, das die Stadt nicht untergeht. Dieses meist unterirdische Zirkulationssystem wird über Abwasserpumpen gesteuert, einige von ihnen sind direkt mit dem Internet verbunden. Fallen sie aus, entsteht ein riesiges Chaos: Straßenzüge wären überflutet, Abwasser dränge aus Gullis und aus Toiletten. Nicht nur hygienisch wäre dies katastrophal, Rettungsdienst und Feuerwehr könnten ihre Einsatzorte vom Boden aus nicht erreichen, die Wirtschaft käme zu erliegen, Hamburg stünde still. Dass alle diese Pumpen auf einmal ausfallen, ist unwahrscheinlich – dass sie gehackt werden, nicht.

2018 erlangten zwei Hacker aus Deutschland Zugriff über die Verwaltungsoberfläche des Wasserwerks Michelau. Streng genommen hatten sie dafür nicht einmal gehackt. Sebastian Neef und Tim Philipp Schäfers sind sogenannte White-Hat Hacker. Sie hacken quasi für den guten Zweck, zeigen Sicherheitslücken auf und helfen so Unternehmen, Organisationen und sogar Staaten. Neef und Schäfers stießen bei einer Recherche auf das Prozessleitsystem Flowchief. Flowchief steuert die einzelnen Prozesse in Wasser- und Klärwerken. 127 Anlagen nutzen dieses System in Deutschland. Benutzer kontrollieren die Software einfach über eine Internetseite, auf der sich die Mitarbeiter eines solchen Werks mit Benutzername und Passwort anmelden – egal von welchem Rechner. Als die beiden IT-Spezialisten aus Spaß „WW“ (Wasserwerk) als Benutzernamen und „WW“ als Passwort eingaben, erhielten sie sofortigen Zugriff auf die Benutzeroberfläche der Wasserversorgung des Oberfränkischen Ortes Michelau.

Als nächstes loggen sich Schäfers und Neef in das Abwassersystem der Gemeinde Postbauer-Heng ein. Dafür nutzen sie den bereits vorausgefüllten Nutzernamen und geben ein identisches Passwort ein. Dieses Mal erhalten sie sogar volle Adminrechte. Mit ein wenig Fachwissen könnten sie von hier aus Pumpen ein- und ausschalten, Klärschlamm zurück in den Ort leiten, Becken überlaufen lassen oder Flüsse verseuchen. Flowchief würde im Notfall Mitarbeiter zwar alamieren, allerdings lassen sich Benutzerkonten von der Plattform sperren und Passwörter ändern. Im Ernstfall könnte keiner eingreifen. Experten gehen davon aus, dass man mit anderen Methoden, die gegen den White-Hat Ethos verstoßen würden, in nahezu alle 127 Wasser- und Klärwerke hätte eindringen können.

Zuständig für Warnungen vor Sicherheitslücken in IT-Produkten ist in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI). Nach ihren Funden alamierten Schäfers und Neef das BSI, welches gemeinsam mit Flowchief und den Werksbetreibern alle Zugänge innerhalb von 48 Stunden schließen konnte.

Abwassersysteme stellen auf der Liste der potentiell hackbaren Infrastruktur lediglich die Spitze des Eisbergs dar. Ein gehacktes Verkehrsleitsystem könnte zu Megastaus und Massenkaramboulagen führen, gehackte Kraftwerke zu Stromausfällen und Nuklearunfällen, sogar Krankenhäuser könnten Opfer eines Angriffs werden.

Am 10. Februar 2016 weigert sich ein Großteil der Computer im Lukaskrankenhaus in Neuss hochzufahren. Die Bildschirme der anderen Rechner zeigen eine in schlechtem Englisch verfasste Mitteilung. Die Dateien der Rechner seien verschlüsselt, nur gegen ein Lösegeld würde man sie freigeben. Um eine weitere Ausweitung des Computervirus zu verhindern, wurden alle Systeme abgschaltet. Patientendaten konnten vorerst nicht mehr digital abgerufen werden, Operationen wurden verschoben, sogar von der Notfallversorgung musste sich die Klinik abmelden. Über eine Million Euro musste die Klinik in die Neuanschaffung der gesamten IT-Struktur investieren. Fiele ein solcher Virus in allen Krankenhäuser einer deutschen Großstadt ein, hätte dies ein Massensterben zur Folge. Doch Hacker können auch gezielter vorgehen: Einzelne Herz-Lungen Maschinen lassen sich direkt über das Internet ansteuern, hacken und ausschalten.

Der Zweck eines umfassenden Hackerangriffs auf deutsche Infrakstruktur ist in fast allen Szenarios einer: Chaos. Einfache Systeme könnten von technikaffinen Trollen aus Spaß gehackt werden und ungeahnte Folgen haben. Doch auch Terroristen und ausländische Regierungen könnten Interesse an einem Totalausfall deutscher IT-Systeme haben. Hacker der russischen Regierungen nutzen mutmaßlich bereits Testweise einen Virus in der Ukraine, der beinahe das ganze Land zum Stehen brachte. Sie fanden eine Lücke in der ukrainischen Software MeDoc. MeDoc wird von 90% aller ukrainischen Unternehmen genutzt, um Steuererklärungen automatisiert zu erstellen. Die Hacker spielten über einen gekaperten MeDoc Server ein Update an alle Kunden aus, in dem sich etwa 1,5 GB Schadsoftware befindet. Das Programm verteilt sich nun an unter Rechnern, die in Kontakt mit dem infizierten Computer stehen, stielt die Benutzerdaten und Passwörter der Benutzer und verschlüsselt anschließend alle Daten. Neben Unternehmen breitete sich der NotPetya genannte Virus auch in Ministerien, Flughäfen, Krankenhäusern und Verkehrssystemen aus. Doch auch international richtete NotPetya verheerende Schäden an. Ausländische Unternehmen mit Vertrieb in der Ukaine „importierten“ die Schadsoftware in die ganze Welt. Besonders betroffen war der international agierende Logistikkonzern Maersk aus Dänemark. NotPetya zerstörte 45.000 PCs und 4.000 Server des Unternehmens. Auch alle 150 Backups des Domain Cotrollers, der zentralen Steuerungseinheit des Unternehmens, wurden unbrauchbar gemacht. Das Glück rettete Maersk: Ein einzelner Server in Ghana war aufgrund eines Stromausfalls nicht mit dem Internet verbunden.

Alle diese Fälle verdeutlichen, wie groß der Schaden durch einen großen oder auch kleinen Hackerangriff sein kann. 2019 hat das BSI rund 114 Millionen neue Schadprogrammvarianten und 110.000 tägliche Angriffe auf Systeme in Deutschland registriert. Um künftigen Totalausfällen in sicherheitsrelevanten Systemen vorzubeugen, müssten vor allem Mitarbeiter besser geschult und veraltete Systeme erneuert werden. Das kostet Geld, ist jedoch weitaus günstiger, als die Konsequenzen, die durch einen Hackerangriff enstehen könnten. Damit Hamburg nach dem nächsten Regen wieder trocknet.