Auf 84 Seiten beschreibt und analysiert der Bericht die aktuelle IT-Sicherheitslage, die Ursachen von Cyber-Angriffen sowie die verwendeten Angriffsmittel und -methoden im Zeitraum Juli 2016 bis Juni 2017 – auch anhand konkreter Beispiele und Vorfälle. Dabei geht es nicht zuletzt um Betreiber Kritischer Infrastrukturen, speziell Wasserversorger.

Smart Everything macht verwundbar

Der Lagebericht verdeutliche eine neue Qualität der Gefährdung, so das BSI: Die zunehmende Digitalisierung und Vernetzung durch Entwicklungen wie das Internet der Dinge, Industrie 4.0 oder Smart Everything böten Cyber-Angreifern fast täglich neue Angriffsflächen und weitreichende Möglichkeiten, Informationen auszuspähen, Geschäfts- und Verwaltungsprozesse zu sabotieren oder sich anderweitig auf Kosten Dritter kriminell zu bereichern. Dabei verfügten die Angreifer über leistungsfähige und flexibel einsetzbare Angriffsmittel und -methoden.

Kritische Infrastrukturen im Fokus

Ziel der Angriffe sind laut BSI Unternehmen und Kritische Infrastrukturen ebenso wie Verwaltung, Forschungseinrichtungen und Bürger. Das Amt betont: „Nach wie vor stehen die Betreiber Kritischer Infrastrukturen im Fokus von Angreifern mit politischer Motivation.“ Der Lagebericht mache deutlich, „dass sich die Frage der Sicherheit der eingesetzten Informationstechnik nicht mehr nur nebenbei stellt. Sie stellt sich auch nicht länger nur einem eingeweihten Kreis der IT-Spezialisten. Vielmehr ist die Cyber-Sicherheit wesentliche Voraussetzung für das Gelingen der Digitalisierung in Deutschland.“

Menschliche Fehler, fehlende Updates

Der Bericht wirft einen näheren Blick auf den Wassersektor: Im Rahmen der Meldepflicht für IT-Störungen und Zwischenfälle gingen bis zum 30. Juni 2017 beim BSI insgesamt 34 Meldungen aus den KRITIS-Sektoren ein. Davon stammten 18 aus dem Sektor Informationstechnik und Telekommunikation, elf aus dem Sektor Energie, drei betrafen den Sektor Wasser und zwei den Sektor Ernährung. Häufig hätten menschliche Fehler wie beispielsweise falsche Konfigurationen zu einer IT-Störung geführt. Weitere häufige Ursachen seien Hardwaredefekte oder fehlerhafte Software. Letzteres äußere sich in der Regel durch fehlerhafte Updates.

Helfende Hacker, geschlossene Lücken

Das Amt beschreibt in seinem Bericht auch die Reaktionen auf den aufsehenerregenden Fall vom Sommer 2016, als Informatikstudenten Sicherheitslücken bei Wasserwerken entdeckten, die einen Zugang zu Steuerungssystemen ermöglichten. Sie meldeten ihre Entdeckung den Behörden. „Im August 2016 wurde das BSI auf mehrere offene, aus dem Internet einsehbare Steuerungssysteme von Wasserwerken in Deutschland aufmerksam gemacht“, heißt es jetzt in dem Bericht. „Die Betreiber der Wasserwerke wurden durch das BSI unmittelbar kontaktiert und auf den Sachverhalt aufmerksam gemacht. Diesen war die Erreichbarkeit der Systeme aus dem Internet nicht bewusst. Sie reagierten sehr kooperativ und schlossen die offenen Zugänge kurzfristig. Bei einer später durch das BSI durchgeführten Nachprüfung waren die Anlagen öffentlich nicht mehr erreichbar.“

Fernzugriff unbedingt nötig?

Das BSI rät: „Betreiber Kritischer Infrastrukturen sollten vor allem bei Steuerungssystemen mit Internetzugang überlegen, ob ein Fernzugriff zwingend benötigt wird, und, falls ja, wie die Steuerungssystemen aus dem Internet heraus sichtbar sind. Für den Fernzugang sollten dann Sicherheitsmaßnahmen wie zum Beispiel VPN etabliert werden und es sollte geprüft werden, ob die vorgesehenen IT-Sicherheitsmaßnahmen (Soll-Ist-Vergleich) greifen. Zudem sollten Betreiber die Empfehlungen aus dem ICS-Security-Kompendium des BSI beachten, das ebenfalls auf der Webseite des BSI zur Verfügung steht.“
Download: Die Lage der IT-Sicherheit in Deutschland 2017