Krieg im Cyberraum: ukrainische KRITIS-Betreiber im Fadenkreuz

Im Cyberspace tobt Krieg: Der Ukraine-Konflikt findet auch hier statt, im digitalen Raum. Kürzlich traf es einen Großteil der IT-Landschaft einer ukrainischen Telefongesellschaft. Aber auch andere KRITIS-Systeme stehen im Zielfeuer und sogar IOT-Komponenten.

In Kürze jährt sich der Beginn des russischen Angriffs auf die Ukraine zum zweiten Mal. Neben der physikalischen Auseinandersetzung erreicht der Krieg auch im Cyberspace neue Höhepunkte. Für Angreifer, die für russische Interessen agieren, ist dabei all das von besonderem Interesse, was zur Kritischen Infrastruktur gehört. Doch auch außerhalb der Kriegsschauplätze sind KRITIS-Betreiber zu höchster Vorsicht aufgerufen.

Schon weit vor Beginn des offenen militärischen Konflikts bereiteten die Angreifer im Cyberspace den russischen Angriffskrieg vor. Systeme wurden infiltriert, um beispielsweise kritische ukrainische  Kommunikationsinfrastrukturen ausschalten zu können. Das führte unter anderem bereits wenige Minuten nach dem Überfall auf die Ukraine zum Ausfall des Satellitennetzwerks KA-Sat, das auch vom ukrainischen Militär genutzt wurde. Immer wieder kam es zu sogenannten Spill-Over-Effekten, so auch beim Angriff auf das KA-Sat-Satellitennetzwerk, bei dem hierzulande Windkraftanlagen in Mitleidenschaft gezogen wurden. Schon lange warnt das BSI vor Auswirkungen auf deutsche KRITIS-Systeme.

Millionen Ukrainer ohne Internet und Telefon

Aktuell sorgen neue spektakuläre russische Angriffe für Aufmerksamkeit. So wurde im letzten Monat bekannt, dass mutmaßlich russische Angreifer in die Systeme des größten ukrainischen Mobilfunkanbieters Kyivstar eingedrungen sind. Sie legten zahlreiche zentrale IT-Systeme lahm und sorgten für einen längeren Ausfall der Kommunikationsinfrastruktur. Doch das war nur die Spitze des Eisbergs.

Denn inzwischen wurde bekannt, dass die Angreifer bereits vor vielen Monaten in die Systeme des Mobilfunkanbieters eingebrochen waren. Schon im Mai 2023 hatten sie die Kontrolle über erste wichtige Systeme übernommen. Der ukrainische Geheimdienst SBU schreibt die Angriffe der russischen Hackergruppe Sandworm zu, die als Ableger des russischen Geheimdienstes GRU betrachtet wird. Doch laut der Nachrichtenagentur Reuters hat die Gruppe Killnet im Internet den Einbruch für sich reklamiert. Monatelang hatten Angreifer die volle Kontrolle über die Systeme von Kyivstar. Die Eindringlinge hatten auch umfassenden Zugriff auf Kommunikationsdaten, darunter personenbezogene Informationen, Textnachrichten sowie Kontaktdaten von Messengern. Auch die Ortsinformationen von Mobiltelefonen zählen dazu. Den Angreifern ging es jedoch nicht nur um Datendiebstahl und -spionage: Sie legten einen Großteil der IT-Landschaft der ukrainischen Telefongesellschaft lahm, sodass im ganzen Land Telefon- und Internetverbindungen des Mobilfunkanbieters ausfielen. Millionen Kunden waren davon betroffen.

Ukraine schlägt zurück: Ausfall von Telekommunikation und Flughäfen

Es dauerte nicht lange, bis eine Antwort auf die Attacke von Kyivstar erfolgte. Ukrainische Cyber-Aktivisten, die mit dem ukrainischen Geheimdienst verbunden sein sollen, nahmen russische Telefongesellschaften ins Visier. Erfolg hatten sie bei dem Moskauer Provider M9 Telecom. Ukrainischen Information zufolge erlangten sie dort die Kontrolle über wichtige IT-Systeme und erbeuteten 20 TByte an Kommunikationsdaten. Außerdem wurden die Internetverbindungen eines Teils der Moskauer Bevölkerung lahmgelegt.

Erfolge vermeldeten ukrainische Hacker schon zuvor: Cyber-Spezialisten aus den Reihen des ukrainischen Militärs sollen das russische ERP-System 1C-Rarus lahmgelegt haben. In der Folge konnten verschiedene russische Unternehmen ihren Betrieb nicht in vollem Umfang aufrechterhalten. Der wirtschaftliche Schaden soll sich im hohen Millionenbereich belaufen. Die gleiche Gruppe hatte bereits im Herbst das russische Flugbuchungssystem gehackt. In der Folge soll der Flugbetrieb auf mehreren russischen Flughäfen vollständig zum Erliegen gekommen sein. Der ukrainische Digitalminister Mykhailo Fedorov kommentierte das mit den Worten: „Wenn ukrainische Flughäfen aufgrund des Krieges nicht funktionieren können, warum sollten es dann Russische tun?“

Auch harmlose IOT-Geräte werden zur Waffe

Die Angriffe beschränken sich keineswegs auf Telekommunikationseinrichtungen und damit auf klassische kritische Infrastruktur. Auch IOT-Geräte können sehr wertvoll sein, beispielsweise Webcams. Zum Jahreswechsel wurde bekannt, dass Angreifer ukrainische Webcams gekapert haben, insbesondere an sensiblen Orten. Die Aktion wird vom ukrainischen Sicherheitsdienst SSU (Security Service of Ukraine) russischen Akteuren zugeschrieben, die mit russischen Geheimdiensten verbunden sein sollen. Bilder und Daten der Kameras sollen unter anderem für die Vorbereitung eines russischen Luftangriffs genutzt worden sein.

Von besonderem Interesse waren demnach fernsteuerbare Kameras. Das Nachrichtenportal Heise-Online meldet dazu: „Eine der Kameras hing an einem Balkon eines Appartmentkomplexes und diente den Wohnungseigentümern dazu, die Umgebung zu beobachten“. Es handelt sich also keineswegs nur um Webcams staatlicher Stellen, sondern auch um solche von Privatleuten. Insbesondere, wenn sich die Kamera auf in der Umgebung befindliche sensible Einrichtungen ausrichten lässt. Dem Bericht zufolge habe der SSU seit Kriegsbeginn bereits die Zugriffe auf rund 10.000 IP-Kameras blockiert.

Es bleibt anzumerken, dass sämtliche Informationen letztlich auf den Angaben zweier Kriegsparteien und insbesondere deren Geheimdiensten basieren.

Autor: Uwe Sievers

Kritische Infrastrukturen absichern: ohne geht nichts

Wie sicher sind unsere Kritischen Infrastrukturen? Welchen Cyber-Bedrohungen stehen KRITIS-Betreiber gegenüber? Wie sehen die Sicherheitsstandards aus und für welche Organisation gelten die Regulierungsanforderungen, die sich beispielsweise aus dem IT-Sicherheitsgesetz ergeben?

Umfassende Informationen und zahlreiche Aufzeichnungen der Vorträge von it-sa Expo&Congress sowie it-sa 365 finden Sie auf der Themenseite KRITIS.