BSI berät zu Stuxnet
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet Unternehmen, die das Prozessvisualisierungssystem ‘Windows Control Center’ (WinCC) von Siemens zur Anlagensteuerung einsetzen, Handlungsempfehlungen zur Überprüfung der Systeme auf Manipulationen durch die Schadsoftware Stuxnet an.
Moderne Industrietechnik hat einen hohen Grad an Komplexität und Automatisierung erreicht, so dass ihre Steuerung oft nur mithilfe von Computersystemen möglich ist. Prozesssteuerungslösungen – auch als SCADA-Systeme bezeichnet – unterstützen eine Vielzahl von Abläufen und enthalten immer mehr Bestandteile der Standard-IT.
Den Anwendern bietet dies Vorteile wie Kosteneinsparungen oder zentralisiertes Management. Der Einsatz der Standard-IT birgt jedoch auch Risiken: Jährlich werden Tausende Schwachstellen in Standardsoftware bekannt. IT-basierte Angriffe auf Prozesssteuerungssysteme werden in einschlägigen Arbeitskreisen schon seit Jahren diskutiert, die tatsächliche Realisierbarkeit wurde bisher aber nur unter Laborbedingungen nachgewiesen.
Mit Stuxnet wurde nach BSI-Angaben nun erstmalig eine Schadsoftware öffentlich bekannt, die auf Prozesssteuerungssysteme spezialisiert ist. Bemerkenswert seien der Aufwand und das fachliche Know-how, das in die Entwicklung des Trojaners eingeflossen sei, hieß es von der Behörde.
Neben der Ausnutzung mehrerer bislang unbekannter Schwachstellen in Windows – so genannter Zero-Day-Lücken – und der Verwendung gültiger Zertifikate, die Stuxnet das Einnisten auf den Host-Systemen der WinCC-Software ermöglichten, verfügte der Angreifer über genaue Kenntnisse der WinCC-Plattform sowie der Programmiersprache STEP 7. Durch Root-Kits versteckt sich der Stuxnet-Trojaner nicht nur auf den WinCC-Systemen, sondern erschwert auch eine Erkennung von Manipulationen der angegriffenen PLCs.
Das BSI stellt Unternehmen Handlungsempfehlungen zur Prüfung der Systeme auf Stuxnet zur Verfügung. Die Empfehlungen können unter stuxnet@bsi.bund.de angefordert werden. Um die aktuelle Lage besser einschätzen zu können, bittet das BSI die Besteller auch um die Benennung des Einsatzfeldes der WinCC-Software im Unternehmen.
Zur Überprüfung der WinCC-Software stellt Siemens ein entsprechendes Tool bereit. Weitere Informationen zum Einsatz von IT in der Prozessüberwachung und -steuerung sowie zum Thema SCADA-Sicherheit sind auf einer BSI-Seite abrufbar.
