Wer den Angreifer löscht, löscht auch die Logik

Die Aussperrung kam aus dem Gerät selbst

In den Nächten des 26. und 27. Juli wollte ein Betreiber in Minnesota eine Einstellung an der Steuerung eines Wasserwerks ändern und stellte fest, dass das Passwort nicht mehr seines war. Im selben Zeitfenster traf es landesweit mehr als 30 kommunale Wasser- und Abwasseranlagen. Minnesota war lediglich der erste Bundesstaat, der das öffentlich sagte. Zum Wochenende lagen dem FBI Meldungen von Versorgern aus mindestens sieben Bundesstaaten vor, und in seiner gemeinsamen Mitteilung mit der Umweltbehörde EPA vom 30. Juli hielt es fest, dass ein Teil dieser Aktivität den Wasserbetrieb beeinträchtigt hat.

Was die Täter taten, sollte man genau benennen, denn es entspricht nicht dem Bild, das die meisten beim Wort Angriff vor Augen haben. Nachdem sie über das Internet erreichbare Steuerungen erreicht hatten, änderten sie deren IP-Adressen und schalteten anschließend Passwörter ein und vergaben sie. Das FBI beschreibt das Ergebnis als Verlust der Sicht und in manchen Fällen als Verlust der Funktion der angeschlossenen Anlagentechnik. Nichts wurde verschlüsselt, kein Lösegeld gefordert. Die Betriebe behielten jede Datei, die sie hatten. Verloren ging die Fähigkeit, mit den eigenen Maschinen zu sprechen. Zu den dem FBI gemeldeten Auswirkungen zählten Druckverlust und Überflutungen, und die Betreiber fuhren ihre Anlagen von Hand weiter.

Lesen Sie die zweite Anweisung, nicht die erste

Die erste Anweisung beider Behörden ist die naheliegende: die Steuerungen sofort vom öffentlichen Internet nehmen. CISA, die dem Wasser- und Abwassersektor am 30. Juli eine eigene Warnung schickte und von einer deutlichen Eskalation der Aktivitäten gegen speicherprogrammierbare Steuerungen sprach, ergänzt physische Netztrennung und die Entfernung jedes öffentlich erreichbaren Geräts. Der Rat ist richtig, und kaum jemand wird ihm widersprechen.

Die zweite Anweisung entscheidet darüber, wie lange eine Anlage steht. Das FBI rät den Betreibern sicherzustellen, dass sie eine bekannt saubere Sicherung des Steuerungsabbilds besitzen, falls ein geändertes Passwort sie aussperrt. CISA kommt über einen Kaltstart zum selben Punkt, der Adressierung und Programm löscht. Beides sind Wiederherstellungen, keine Korrekturen. Die empfohlene Lösung entfernt den Angreifer, indem sie alles entfernt, und die Anlage kommt erst zurück, wenn jemand das Programm wieder aufspielt.

Die Wiederherstellung ist eine Datei, und vielleicht haben Sie sie nicht

Hier unterscheidet sich ein Wasserwerk von einem Büronetz, und hier setzt die Empfehlung stillschweigend etwas voraus, das die wenigsten Betreiber je geprüft haben. Eine Steuerung wiederherzustellen heißt nicht, Software eines Herstellers neu zu installieren. Es heißt, das für genau diese Anlage geschriebene Programm zu laden: die Kontaktplanlogik, die weiß, dass dieser Standort zwei Brunnen und ein Hebewerk hat, dass diese Pumpe unterhalb jenes Drucks nicht laufen darf, dass dieses Ventil mit jenem Alarm verriegelt ist. Dieses Programm existiert als Projektdatei, und es ist für den Standort einzigartig.

In den meisten europäischen Wasserwerken liegt die aktuelle Fassung dieser Datei nicht beim Versorger. Sie liegt beim Systemintegrator, der die Anlage in Betrieb genommen hat, mitunter vor Jahren, gelegentlich bei einem Ingenieur, der das Unternehmen längst verlassen hat. Der Versorger besitzt die Hardware, bezahlt die Wartung und trägt die regulatorische Pflicht, während das Artefakt, das die Hardware überhaupt arbeiten lässt, bei einem Auftragnehmer liegt, der zu keiner ausdrücklichen Pflege oder Herausgabe verpflichtet ist. Diese Konstruktion fällt nicht auf, solange nichts wiederhergestellt werden muss. Die gesamte zweite Anweisung des FBI hängt an ihr.

Die ehrliche Fassung der Frage lautet also nicht, ob Sie gepatcht sind. Sie lautet: Wenn eine Steuerung heute Nachmittag auf Werkszustand geleert würde, wer schickt Ihnen die Datei, wie lange dauert das, und hat jemals jemand bestätigt, dass die vorhandene Datei auf die heute laufende Hardware lädt? Eine Projektdatei, die drei Jahre undokumentierter Anlagenänderungen nicht mitgemacht hat, ist keine Sicherung. Sie ist ein Archiv.

Eine Sicherung mit Datum ist nicht dasselbe wie eine saubere

Ein Detail der FBI-Mitteilung ändert, wie Sie mit den vorhandenen Kopien umgehen sollten. Mindestens eine Organisation meldete veränderte SPS-Projektdateien, nachdem sie an mehreren ihrer Standorte Abweichungen in der Kontaktplanlogik bemerkt hatte. Jemand hat verglichen, was lief, mit dem, was hätte laufen sollen, an mehr als einem Standort, und einen Unterschied gefunden. Das ist keine Aussperrung. Das ist eine Bearbeitung.

Sobald Programmdateien betroffen sind, genügt es nicht mehr, überhaupt eine Sicherung zu haben, denn eine nach dem Zugriff gezogene Kopie stellt die Fassung des Angreifers getreu wieder her. Maßgeblich wird das Datum. Sie brauchen eine Kopie, die sich vor den frühestmöglichen Zugriff datieren lässt, und einen Weg, sie mit dem heutigen Stand auf dem Gerät zu vergleichen. Für Versorger mit den vom FBI genannten Baureihen Allen-Bradley MicroLogix 1100 und 1400 oder mit der von CISA ebenfalls markierten Technik von Siemens und Schneider Electric ist dieser Vergleich eine gewöhnliche Ingenieursaufgabe. Schwierig ist er nur, weil kaum jemand eine Referenzkopie zum Vergleichen hat.

NIS2 fragt das längst, in einem Absatz, den niemand liest

Trinkwasser und Abwasser sind nach NIS2 wesentliche Sektoren des Anhangs I, europäische Betreiber sitzen also in der strengsten Stufe des Regimes. Der Absatz, der hier greift, ist nicht die Meldefrist. Es ist Artikel 21 Absatz 2 Buchstabe d, der die Sicherheit der Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehung zwischen einer Einrichtung und ihren unmittelbaren Anbietern und Diensteanbietern verlangt. Ein Integrator, der die einzige lauffähige Kopie des Programms eines Trinkwasserwerks hält, ist genau diese Beziehung, und dass es sich um eine Ablage und nicht um eine Netzverbindung handelt, stellt sie nicht außerhalb des Artikels.

Drei Dinge lohnen sich in dieser Woche, und keines davon setzt voraus, dass man weiß, wer dahintersteckt. Halten Sie je Steuerung fest, wer die aktuelle Projektdatei besitzt und unter welcher Vertragsklausel. Ziehen Sie eine eigene Kopie, legen Sie sie offline ab und notieren Sie das Datum. Prüfen Sie dann bei einer geplanten Abschaltung, ob diese eine Kopie auf eine Steuerung lädt, denn eine ungetestete Wiederherstellung ist eine Überzeugung und keine Fähigkeit. Braham, eine Kleinstadt in Minnesota mit rund 1.700 Einwohnern, war binnen zwei Stunden zurück, weil ihre Mannschaft die Anlage von Hand fahren konnte. Handbetrieb kauft Ihnen Stunden. Dass die Anlage wieder auf ihre Steuerung kommt, kauft Ihnen die Datei, und nur, wenn es sie gibt.

Weiterlesen: Patchen von SharePoint schließt die Tür nicht mehr  |  CISA setzt erstmals eine KI-Agentenplattform auf die Patchpflicht