Am Donnerstag, den 16. November, gelang es ­Studierenden der FH Aachen in das Datennetz eines Aachener IT-Unternehmens, der SOPTIM AG, einzudringen. Der Erfolg des Projekts mit dem kryptischen Namen »bl4ck0u7@fh_44ch3n« macht deutlich, wie akut Bedrohungen durch ­Cyberattacken sind.

VON MARKO BÖTTCHER
FOTOS FH AACHEN / THORSTEN VIERBUCHEN

Der Eingangsbereich der SOPTIM AG im Aachener Westen, der dem Dienstleister für IT-Lösungen in der Energiewirtschaft üblicherweise auch als Veranstaltungs- oder besser Vortragsort dient, ist an diesem nasskalten Novemberabend mit allerlei Branchengästen sowie solchen aus Wissenschaft und Presse gefüllt. Auch wenn die meisten schon eine Vorahnung davon haben, was sie in den nächsten ein bis zwei Stunden erwartet, kann man dennoch irritierte Blicke registrieren, als im Laufe des Abends die Flurbeleuchtung unregelmäßig und unauffällig an- und auszugehen beginnt. Ohnehin ist es seit einiger Zeit spürbar kühl. Als später das Licht sowohl im prall besetzten Raum als auch im Außenbereich komplett ausgeht, klatschen die Gäste erstaunlicherweise Applaus.

ETHISCHES HACKEN
Dass keine Panik, sondern vielmehr gediegenes Gelächter aufkommt, liegt daran, dass die Gäste natürlich wissen, dass es sich um einen simulierten Zwischenfall handelt. FH-Studierende des Fachbereichs Elektrotechnik und Informationstechnik haben sich unter der Leitung von Prof. Marko Schuba und Hans Wilhelm Höfken vorher mit der SOPTIM AG abgesprochen. Das Ziel des Abends ist es nämlich, im Rahmen des Themenjahres »Datensicherheit in der Energiewirtschaft« und vor dem Hintergrund des Bestsellerromans »Blackout – Morgen ist es zu spät« von Marc Elsberg zu zeigen, dass Cyberangriffe eine allgegenwärtige Gefahr sind.

Eine, die fatale Folgen haben kann. Die SOPTIM AG, vertreten durch ihren Vorstand Dr. Heinar Halbach, hatte sich zu Demonstrationszwecken dankenswerterweise bereit erklärt, sich von den Studierenden hacken zu lassen – nur über das Ob, Was und Wie bestand zu Beginn des Abends noch Unklarheit. Einen solchen Vorgang, bei dem Firmen an derartigen Aktionen freiwillig teilnehmen, nennt man »Ethisches Hacken«. Der Zweck des Ganzen besteht neben dem Aufklärungsaspekt vor allem in der Ausbildung von Cybersicherheitsexperten, die für Behörden, Banken und Unternehmen im Zuge der fortschreitenden Digitalisierung unserer Gesellschaft zukünftig immer wichtiger sein werden.

Foto: FH Aachen / Thorsten Vierbuchen

DAS SCHWARZE SCHAF
Wie gelang es den Studierenden der FH aber nun, in das Netz der Firma einzudringen? Die jungen Uni-Hacker schauten sich zunächst einige SOPTIM-Mitarbeiter etwas genauer an. Etwa über die Internetpräsenz des Unternehmens, via Google, Facebook, XING und Konsorten. Nach und nach entstanden so verschiedene Profile, die einzelne Mitarbeiter, ihre Aufgaben und persönliche Informationen strukturierten. Auf der Grundlage dieser Daten entschieden sich die Hacker für eine bestimmte Person. Diese sollte mit einer gefälschten Nachricht, einer Phishing-E-Mail, dazu gebracht werden, Schadcode auf dem eigenen Rechner zu installieren.

Konkret schrieben die Angreifer den Absolventen einer Berliner Hochschule an, der mittlerweile bei SOPTIM beschäftigt war. Unter einem falschen Vorwand kontaktierten sie die Beauftragte des Alumni-Programms der Hochschule, kopierten deren E-Mail-Adresse und erzeugten anhand des Corporate Designs der Uni eine bis ins kleinste Detail nachgeahmte Nachricht mit einer Einladungs-PDF, die den Schadcode enthielt. Und tatsächlich: Der Fisch biss an; die Hacker enterten den Rechner. Nun stellte sich noch die Frage, wie aus der simuliert-kriminellen Übernahme am meisten Kapital zu schlagen war. Als die Angreifer das System des Opfers durchsuchten, fielen ihnen einige Dateien auf, deren Endungen sie nicht kannten. Sie fanden schnell heraus, dass die Dateien zu seinem Siemens-System gehören, welches die Haustechnik steuert. Weil das System selbst jedoch nicht unmittelbar am Netz hängt, musste ein Umweg gemacht werden.

Und das funktionierte in etwa so: Da die Haustechnik von Zeit zu Zeit umgestellt wird, weil sie etwa Feiertage, die nicht immer auf das selbe Datum fallen, auf der Rechnung haben muss, lädt der Betreiber Updates auf das System. So wird sichergestellt, dass die Technik automatisch weiß, wann sie runterfahren oder etwa in den Wochenendmodus gehen soll. Als nun durch das 500ste Jubiläum der Reformation eine solche Anpassung notwendig wurde, waren den Angreifern buchstäblich Tür und Tor geöffnet. Sie manipulierten einfach die Updatedateien, wobei der atypische Feiertag zu Ehren Martin Luthers den Rest erledigte. Das Haustechnik-System wurde mit den veränderten Dateien bespielt, und die SOPTIM AG hatte plötzlich ein paar unerwünschte Facility Manager.

EINFALLSTOR MENSCH
Die Lehren aus dieser Demonstration sind dabei so aufschlussreich wie ernüchternd. Egal wie gut IT-Systeme durch Firewalls, Virenscanner und sonstige Vorkehrungen geschützt sind, verbleibt dennoch ein unauflösbares Restrisiko – und dieses besteht praktisch in jedem, der in seiner Firma an einem Rechner sitzt und Mails empfängt. Durch die Übernahme der Haustechnik hätten die Angreifer die Alarmanlage ausschalten oder Türen öffnen können, von einer Erpressung ganz zu schweigen. Es handelt sich bei der Bedrohung also um alles andere als Science Fiction, wie die ethischen Hacker der FH gezeigt haben.

Nicht auszumalen, was geschehen könnte, sollte einmal ein wirklicher Angriff bei einem großen Energieversorger oder etwa einem Kernkraftwerk erfolgreich sein. Denn, so resümiert Dr. Halbach am Ende: »Jedes über das Internet angebundene Device kann potenziell gehackt werden. Es kommt darauf an, mit dieser Tatsache zu rechnen und umgehen zu können«. \