Der Schutz der Energieversorgung vor Cyber-Bedrohungen wird immer wichtiger, da Länder ihre Volkswirtschaften dekarbonisieren und ihre Stromnetze modernisieren. Die Satellitenverbindung zu 5.800 Windkraftanlagen in Mitteleuropa funktionierte plötzlich nicht mehr. Die Turbinen drehten sich weiter, waren aber seitdem auf Autopilot und können nicht aus der Ferne zurückgesetzt werden.

„Die Kommunikationsdienste fielen fast zeitgleich mit dem Beginn der russischen Invasion in der Ukraine aus“, sagte der Windturbinenhersteller Enercon in einer Erklärung, nachdem er den Fall dem deutschen Bundesamt für Computersicherheit (BSI) gemeldet hatte.

Die genaue Ursache der Störung ist unbekannt, ein technisches Problem seinerseits schloss das Unternehmen jedoch aus. Weder sie noch BSI antworteten auf Bitten um Stellungnahme der DW.

Während die russische Armee weiter in das Nachbarland vordringt, Zivilisten erschießt und Europas größtes Atomkraftwerk bombardiert und Hacker Regierungswebsites in Wellen von Cyberangriffen zerstören, ist die Sicherheit des ukrainischen Energiesektors ernsthaft in Frage gestellt. Der Krieg hat die Spannungen zwischen Russland und der NATO verschärft und die Schwächen der Cybersicherheit bei den globalen Stromreserven ans Licht gebracht.

Wenn feindliche Flugzeuge Bomben auf eine Bevölkerung werfen, zählt man darauf, dass die nationalen Streitkräfte sie abschießen, vergleicht Stuart Madnick, Informatiker und Cybersicherheitsspezialist am Massachusetts Institute of Technology (MIT) in den Vereinigten Staaten. Doch „wenn ein Cyberterrorist eine Anlage angreift und Folgeschäden verursacht, kann man sich nicht darauf verlassen, dass die Regierung einen schützt.“

Schwachstellen in der gesamten Lieferkette

Im Jahr 2015 hackten angeblich von Moskau finanzierte Hacker in das ukrainische Stromnetz, schalteten Kontrollsysteme aus und richteten in der Hauptstadt und im Osten des Landes großen Schaden an. Es war der erste öffentlich bekannte Fall eines Cyberangriffs, der darauf abzielte, ein Stromsystem zu neutralisieren. Seitdem fanden weltweit ähnliche Offensiven statt.

Im Jahr 2021 schlugen Hacker, die mit einer russischen Gruppe von Ransomware (bösartige Software, die sich eines Systems bemächtigt und es erst nach „Rettung“ freigibt) in Verbindung mit Computerausrüstung in einer Pipeline in Texas, USA, ein. Sein Eigentümer, die Colonial Pipeline Company, musste den Betrieb einstellen und das Lösegeld zahlen, um das System wiederherzustellen.

In einer Umfrage des deutschen Konzerns Siemens berichteten mehr als die Hälfte der konsultierten Dienstleister von Angriffen, die zu mindestens einem Ausfall oder Verlust von Betriebsdaten pro Jahr führten. Die Folgen reichten von Stromausfällen und Schäden bis hin zu Verletzungen und Umweltkatastrophen. Ein Viertel der teilnehmenden Führungskräfte gab an, Opfer von „Mega-Angriffen“ mit einer von souveränen Staaten entwickelten Hacking-Technik geworden zu sein.

Laut einem Bericht der Unternehmensberatung McKinsey aus dem Jahr 2020 können Angriffe auf Energiesysteme auf allen Stufen der Lieferkette erfolgen. Strom wird oft auf alter Infrastruktur erzeugt, die ohne Überlegungen zur Cybersicherheit konzipiert wurde.

Übertragungs- und Verteilungsleitungen können physische Sicherheitslücken aufweisen, die den Zugriff auf Netzwerksteuerungssysteme ermöglichen. Sogar auf privater Ebene kann das Vordringen von „intelligenten“ Zählern und Elektrofahrzeugen Flanken für die Sabotage von Diensten öffnen.

„Hacker haben Tausende Möglichkeiten, in isolierte Energieunternehmen oder Übertragungs- und Verteilungssysteme einzudringen“, bestätigt Don Smith, Umweltrechtsexperte an der University of Denver, USA, der digitale Sicherheit im Energiesektor erforscht hat.

Cyberangriffe können nicht nur den Betrieb stören und Stromausfälle verursachen, sondern auch physische Schäden an Ausrüstung und Infrastruktur verursachen, die noch lange nach dem Ende der Offensive bestehen bleiben. Madnick vom MIT erinnert daran, dass Wissenschaftler aus Laboratorien der US-Regierung dieses Potenzial für körperliche Schäden bereits nachgewiesen haben.

„Wenn ein Generator explodiert oder eine Turbine außer Kontrolle gerät und ausfällt, müssen sie ersetzt werden. Und oft sind es maßgeschneiderte Geräte, deren Austausch Wochen, wenn nicht Monate dauert.“

Die anfälligsten Erneuerbaren?

Grundsätzlich sind erneuerbare Energiequellen wie Photovoltaik- oder Windkraftanlagen anfälliger für Cyberkriminalität, da sie stärker mit dem Internet verbunden sind als herkömmliche Kraftwerke für fossile Brennstoffe: Während diese zentralisiert sind, sind erneuerbare Energien auf mehr Bereiche und Systeme verteilt . breit.

Das kann einerseits ein Vorteil sein, da ein Angriff vielleicht nur einen Teil der Stärke ausschaltet, andererseits aber mehr Schwächen aufdeckt. Erneuerbare Energiequellen befinden sich zudem in der Regel weiter entfernt von den Stromverbrauchern, was den Bedarf an Übertragungsleitungen erhöht, was dazu führt, dass mehr Geräte miteinander verbunden werden.

Experten weisen jedoch auf andere Arten von Schwachstellen in Kraftwerken mit fossilen Brennstoffen hin: Kohle-, Öl- oder Erdgaskraftwerke sind oft viel älter als erneuerbare Energien und wurden ohne einen klaren Plan zur Abwehr von Cyberangriffen mit dem Internet verbunden.

In vielen Ländern wurde diese Infrastruktur vor Jahrzehnten, wenn nicht Jahrhunderten aufgebaut. „Ich glaube nicht, dass sie viel Schutz vor Cyber-Angriffen hatten“, sagt Forscher Madnick. „Vielleicht gegen Banditen und Cowboys, aber nicht gegen Cyberkriminelle.“

Vorbeugen, damit Sie nicht heilen müssen

Experten warnen davor, dass es den größten Volkswirtschaften der Welt an einheitlichen Plänen fehlt, um ihre Stromnetze vor digitalen Bedrohungen zu schützen, während sie schrittweise auf erneuerbare Energien umsteigen. In den USA beispielsweise gebe es keine föderale Cybersicherheitsstrategie, was „in einem total vernetzten Land keinen Sinn macht“, kritisiert Don Smith.

Sowohl in den USA, wo Strom von einem Staat in einen anderen fließt, als auch in der Europäischen Union, wo er zwischen Ländern fließt, ist jeder Betreiber den Schwachstellen seiner Nachbarn ausgesetzt. „Energie achtet nicht auf Staats- oder Hoheitsgrenzen“, erinnert sich der Umweltrechtsexperte. „Es bewegt sich dorthin, wo die Pipelines und Übertragungsleitungen sind.“

Da die Energieinfrastruktur immer ausgefeilter wird und Hacker ständig neue Zugangsmöglichkeiten entwickeln, gibt es keinen universellen Entwurf für digitale Sicherheit. Dennoch raten Experten Regierungen, Unternehmen und Einzelpersonen, Maßnahmen zu ergreifen, um sich besser zu schützen.

Unternehmen können beispielsweise Cybersicherheitsdirektoren einstellen, die damit beauftragt sind, sich über den technologischen Fortschritt auf dem Laufenden zu halten und Systemschwachstellen zu untersuchen. Regierungen könnten Cybersicherheitsmindeststandards für Versorgungsunternehmen einführen und eine regelmäßige Aufsicht verlangen. Mitarbeiter von Energieunternehmen können regelmäßig ihre Passwörter ändern und ihre Geräte auf Schadsoftware prüfen.

Gemeinsam sollten sie nach Schwachstellen in Systemen suchen, bevor Angriffe stattfinden, anstatt zu warten, bis es zu spät ist, sagt Stuart Madnick vom MIT: „Erst wenn ein starker Sturm kommt, merkt man, dass alle Laternen weg sind.“