Virtuelle Kraftwerke als potenzielle Zielscheibe

Weiterhin werden Zugriffe nach IEC 60870-5-104, 101 und IEC 60850 von unbekannten Adressen abgewiesen. Alle nicht benötigten Dienste von CRISP-Node werden abgeschaltet, wie zum Beispiel der integrierte Webserver oder Dynamic Host Configuration Protocol. In diesem Zusammenhang können die in den dezentralen Einheiten (DEA) erzeugten Daten zentral im VKW gesammelt, angepasst, extrahiert und zur weiteren Analyse freigegeben werden.

11 Schwachstellen virtueller Kraftwerke

Trotz bereits umgesetzter Resilienzmaßnahmen stellt sich nun die Frage, wie gut VKW in Bezug auf die holistische Informationssicherheit gerüstet sind und wie gut sie Stresssituationen bewältigen können. Wir haben dies in einer wissenschaftlichen Studie am Clavis Institut für Informationssicherheit an der Hochschule Niederrhein untersucht.

Im Folgenden fassen wir die 11 identifizierten GAPs und Deltas zusammen, die potenziell zur Fragilität von VKW führen könnten:

1. Fehlende KRITIS-Deklaration: VKW sind entscheidende integrative Bestandteile des zukünftigen intelligenten Stromnetzes und sollten als kritische Infrastrukturen betrachtet werden. Obwohl ÜNBs und VNBs strengen Regulierungen und gesetzlichen Anforderungen nach Paragraph 8 a BSIG und die Paragraphen 11 Absatz 1 a und b EnWG unterliegen, fehlt es an spezifischen Vorschriften und Deklarationen für VKWs. Die Tatsache, dass VKW nicht als KRITIS betrachtet und reguliert werden, schafft eine potenzielle Schwachstelle in der Sicherheitskette des Stromnetzes. Das Ergebnis ist eine potenzielle Lücke im System, die einen Dominoeffekt und Kaskadeneffekte auslösen kann, was letztendlich zu einem flächendeckenden Stromausfall führen könnte.

2. Fehlendes Sicherheitspersonal und Know-how: Die Informationssicherheit von VKW erfordert spezialisiertes Wissen und Fachkenntnisse im Bereich industrieller Steuerungssysteme (ICS) und der OT-Netzwerke. Das Fehlen von qualifiziertem Sicherheitspersonal kann zu Sicherheitsdefiziten führen.

3. Steigende Komplexität der Infrastruktur: VKW bestehen aus einer Vielzahl von verteilten Systemen, die miteinander vernetzt sind. Die Komplexität dieser Infrastruktur erhöht die Angriffsfläche und macht die Verteidigung von VKW zu einer kollektiven Herausforderung, die betreiberübergreifend zu bewältigen gilt.

4. Fehlende Best Practices und Standards: Es gibt derzeit keine etablierten Best Practices und Standards speziell für VKW. Dies kann zu Unsicherheit führen, wenn es darum geht, welche Sicherheitsmaßnahmen und -verfahren nach der State of The Art implementiert werden können oder sollen.

5. Integration von Legacy-Systemen: Viele VKW und VNB verwenden im Verbund oder auch vereinzelt Legacy-Systeme, die möglicherweise nicht für moderne Sicherheitsstandards ausgelegt sind. Die Integration von obsoleten Systemen in eine sichere Umgebung kann eine Herausforderung darstellen.

6. Diffizile physische Sicherheit: Die physische Sicherheit von VKW, insbesondere von Steuerungszentren wie Control Center und Leitstellen sowie von verteilten Anlagen, ist von entscheidender Bedeutung. Der umfassende Schutz vor physischen Angriffen kann jedoch herausfordernd sein, insbesondere wenn die Erzeugungsanlagen in peripheren Gebieten teilweise öffentlich zugänglich sind und weit voneinander entfernt liegen, wie es beispielsweise bei der Deutschen Bahn der Fall ist.

7. Mangelhaftes Sicherheitsbewusstsein: Das Sicherheitsbewusstsein der Mitarbeitenden und Beteiligten in VKW ist von entscheidender Bedeutung. Schulungen und Sensibilisierungsmaßnahmen sind notwendig, um social Engineering-Angriffe sowie menschen- und physisch-zentrierten Angriffe zu verhindern.

8. Starke Ressourcenbeschränkungen: Ressourcenbeschränkungen sind eine häufige Herausforderung für VKW, die oft ihre Ressourcen effizient nutzen müssen. Diese Notwendigkeit der Effizienz kann dazu führen, dass Sicherheitsmaßnahmen aufgrund begrenzter Budgets und Ressourcen vernachlässigt werden. In diesem Zusammenhang eröffnen Shared-Service-Konzepte die Möglichkeit, Ressourcen und Fachwissen effektiver zu nutzen, indem sie verschiedene VKW bei der Sicherheitsgestaltung unterstützen und somit dazu beitragen, die Sicherheitslücken kostengünstig zu minimieren.

9. Fehlende Kontinuierliche Überwachung und Aktualisierung: Die Sicherheitslage ändert sich ständig, und daher ist es unerlässlich, dass VKW kontinuierlich überwacht werden, beispielsweise mithilfe von IDS oder SIEM-Lösungen. Auf diese Weise können sie schnell auf neue Bedrohungen und Schwachstellen reagieren. Des Weiteren besteht nach wie vor ein Mangel an spezialisierten Computer Emergency Response Teams, die sich auf OT-Umgebungen spezialisiert haben.

10. Interoperabilitätsfrage: VKW müssen oft mit verschiedenen Systemen, darunter ÜNB, VNB und Marktplattformen, interoperabel sein. Dies kann Sicherheitsprobleme im Zusammenhang mit Schnittstellen und Datenübertragungen aufwerfen.

11. Abschätzung der Ausfallfolgen in Bezug auf den Wegfall der Kommunikationstechnik: Neben der Satellitentechnik gibt es auch weitere Kommunikationstechniken (DSL, Standleitung, Mobilfunktechnologie), die zur Verbindung von VKW mit den Netzwerkmitgliedern verwendet werden können. Die Auswirkung der übergeordneten Kommunikationstechnologie hängt von verschiedenen Faktoren ab, darunter die von der geografischen Lage der VKW, der Verfügbarkeit von Infrastruktur und den spezifischen Anforderungen an die Datenübertragung. Je nach Standort und Anforderungen kann eine Kombination dieser Technologien verwendet werden, um eine zuverlässige Verbindung zwischen dem VKW und den Netzwerkmitgliedern sicherzustellen.

Die Bewältigung dieser Herausforderungen erfordert eine umfassende Sicherheitsstrategie, die auf die spezifischen Bedürfnisse und Risiken des VKW zugeschnitten ist. Dies umfasst die Einstellung qualifizierten Sicherheitspersonals, die Entwicklung und Umsetzung von Sicherheitsrichtlinien und -verfahren, die regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen. Hinzu kommen Schulungen und Sensibilisierung der Mitarbeitenden. Darüber hinaus ist die Zusammenarbeit mit Regulierungsbehörden und der Austausch bewährter Verfahren in der Branche entscheidend. (jd)