Cybersicherheit

Wo früher eine Elektrikerin oder Servicetechnikerin persönlich zur Anlage fuhr, erfolgen heute Wartung, Diagnose und Parametrierung häufig aus der Ferne. Leitstände greifen online auf Anlagen zu, Hersteller analysieren Betriebsdaten in Cloud-Plattformen, Energievermarkter benötigen Messwerte in Echtzeit und Betreiberinnen überwachen ihr Kraftwerk bequem über Smartphone oder Tablet.

Diese Entwicklung bringt enorme Vorteile. Gleichzeitig entsteht jedoch eine neue Herausforderung: Mit jedem zusätzlichen Fernzugang wächst die Angriffsfläche eines Kraftwerks. Die entscheidende Frage lautet deshalb heute nicht mehr: „Hat mein Kraftwerk einen Internetanschluss?“ Sondern:“Wer kann heute tatsächlich auf mein Kraftwerk zugreifen?“

Das eigentliche Risiko liegt selten in der Turbine

Viele Betreiberinnen investieren erhebliche Summen in den mechanischen Schutz ihrer Anlagen. Türen werden gesichert, Gebäude überwacht und Steuerungen gegen Manipulation geschützt. Deutlich weniger sichtbar ist jedoch die digitale Seite eines Kraftwerks. Im Laufe der Jahre entstehen häufig Fernzugänge für unterschiedlichste Personen und Dienstleister:

• Hersteller der Turbinensteuerung

• SPS-Programmiererinnen

• Netzschutztechnikerinnen

• Energievermarkter

• Cloud-Dienste

• Kamerahersteller

• Servicetechnikerinnen

• externe IT-Dienstleister

Jeder dieser Beteiligten verfolgt einen berechtigten Zweck. Aus Sicht der Betreiber*in ist folgende Frage jedoch zentral: Wer behält eigentlich den Überblick über sämtliche Zugriffe?

Oft existieren mehrere VPN-Verbindungen (Virtual Private Network, eine Methode zur Verschlüsselung der Internetverbindung), verschiedene Benutzerkonten, Fernwartungsprogramme oder Routerfreigaben parallel. Nicht selten bleibt ein eingerichteter Zugang auch nach Abschluss eines Projektes bestehen.

Das eigentliche Risiko entsteht deshalb häufig nicht durch eine einzelne Schwachstelle, sondern durch die Summe vieler unabhängiger Fernzugänge.

Cloud-Plattformen schaffen Mehrwert – benötigen aber einen sichere Kommunikationweg

Digitale Plattformen gehören heute zum Alltag moderner Wasserkraftwerke. Hersteller bieten intelligente Cloud-Lösungen zur Überwachung, Analyse und Optimierung von Anlagen an. Energievermarkter benötigen Betriebsdaten nahezu in Echtzeit, um Strom bedarfsgerecht vermarkten zu können. Auch Alarmierungen, Auswertungen oder Fernwartungen erfolgen zunehmend cloudbasiert. Diese Entwicklung ist ausdrücklich zu begrüßen. Cloud-Lösungen sind nicht das Problem.

Die entscheidende Frage lautet vielmehr: Wie gelingt die sichere Datenübertragung zwischen Kraftwerk und Cloud? Heute erfolgt diese Kommunikation häufig über eine direkte Internetverbindung. Jede zusätzliche Platt- form baut dabei ihren eigenen Kommunikationsweg auf – oftmals mit eigener VPN-Lösung oder individueller Fernwartung. Dadurch wächst nicht nur die Komplexität, sondern auch die Zahl potenzieller Angriffspunkte.

Ein zukunftsfähiger Ansatz besteht deshalb darin, sämtliche Kommunikationswege zunächst über eine gemeinsame Sicherheitsinfrastruktur zu führen. Die jeweiligen Cloud-Dienste bleiben unverändert bestehen – sie werden jedoch über einen zentral abgesicherten Kommunikationspfad angebunden. Cybersicherheit beginnt somit nicht erst in der Cloud, sondern bereits auf dem Weg dorthin.

Ein VPN allein schützt noch kein Kraftwerk

Viele Betreiber*innen verbinden Cybersicherheit automatisch mit einem VPN. Ein VPN verschlüsselt zwar die Datenübertragung zwischen zwei Punkten, beantwortet jedoch nicht die entscheidenden Sicherheitsfragen.

• Wer darf sich überhaupt verbinden?

• Erfolgt der Zugriff mit einem autorisierten Endgerät?

• Welche Systeme dürfen erreicht werden?

• Darf eine Servicetechnikerin tatsächlich auf alle Komponenten zugreifen?

• Wer erkennt ungewöhnliche Aktivitäten?

• Wer dokumentiert sämtliche externen Zugriffe?

In der Praxis finden sich heute noch Anlagen, deren Fernwartung direkt über freigegebene Routerports oder einfache VNC-Zugänge (Virtual Network Computing, eine Software zur Fernsteuerung von Computern) erfolgt. Andere verwenden zwar VPN-Verbindungen, verzichten jedoch auf zusätzliche Sicherheitsmechanismen wie Mehr-Faktor-Authentifizierung oder eine Geräteidentifikation. Eine moderne Sicherheitsarchitektur betrachtet deshalb nicht nur die Verschlüsselung, sondern den gesamten Kommuniktionsweg.

Cybersicherheit bedeutet auch Netzwerktrennung

Nicht jedes Gerät innerhalb eines Kraftwerks besitzt dieselben Sicherheitsanforderungen. IP-Kameras, Wetterstationen oder IoT-Sensoren kommunizieren häufig mit externen Diensten. Steuerungen, Schutztechnik oder Turbinenregelungen stellen dagegen hochkritische Systeme dar.

Werden alle Geräte innerhalb eines gemeinsamen Netzwerks betrieben, kann bereits eine kompromittierte Kamera im Außenbereich als Einstiegspunkt für weitere Angriffe dienen.

Moderne Sicherheitskonzepte setzen deshalb auf konsequente Netzwerksegmentierung und Network Access Control (NAC). Jedes Gerät erhält ausschließlich Zugriff auf die Systeme, die für seine Aufgabe tatsächlich erforderlich sind. Dadurch wird verhindert, dass sich Angriffe innerhalb des Kraftwerks unkontrolliert ausbreiten können.

Was passiert, wenn nicht das Kraftwerk angegriffen wird?

Viele Betreiber*innen konzentrieren sich verständlicherweise auf den Schutz ihrer eigenen Anlage. Eine ebenso wichtige Frage wird jedoch häufig übersehen: Was passiert, wenn nicht das Kraftwerk, sondern ein externer Partner Ziel eines Cyberangriffs wird?

Hersteller, Serviceunternehmen, Leitsystemanbieter oder Cloud-Plattformen selbst gehören heute zu den bevorzugten Angriffszielen. Ge- lingt es einem Angreifer, einen Fernwartungsserver oder VPN-Endpunkt eines Dienstleisters zu kompromittieren, entsteht daraus unter Umständen ein direkter Kommunikationsweg zu zahlreichen Kundenanlagen.

Befindet sich zwischen diesem Fernzugang und dem Kraftwerk keine unabhängige Sicherheitsinstanz, können Angriffe oder Schadsoftware den vorgesehenen Kommunikationskanal nutzen, um bis in das Kraftwerksnetz vorzudringen.

Noch kritischer wird die Situation, wenn innerhalb des Kraftwerks sämtliche Systeme in einem gemeinsamen Netzwerk betrieben werden. In diesem Fall besteht das Risiko, dass sich ein Angriff von einem kompromittierten Fernzugang auf weitere Anlagenteile oder sogar auf Kommunikationsverbindungen anderer Hersteller und Dienstleister ausbreiten kann.

Eine moderne Sicherheitsarchitektur geht deshalb nach dem Zero-Trust-Prinzip vor: Jede Verbindung – auch die eines bekannten Herstellers – wird zunächst als potenziell unsicher betrachtet und muss kontrolliert, protokolliert und auf das notwendige Minimum beschränkt werden.

Fazit

Die Digitalisierung eröffnet Kleinwasserkraftwerken neue Möglichkeiten für eine bessere Überwachung und eine Nutzung von Betriebsdaten. Gleichzeitig darf der zunehmende Einsatz von Fernzugängen und Cloud-Diensten nicht zu einer unkontrollierten Erweiterung der Angriffsfläche führen. Entscheidend ist daher nicht, ob ein Kraftwerk digital vernetzt ist, sondern ob seine Zugänge und Kommunikationswege sicher sind. Eine zentrale Sicherheitsinfrastruktur, klare Zugriffskontrollen, Netzwerksegmentierung und das Zero-Trust-Prinzip schaffen die Grundlage dafür, die Vorteile der Digitalisierung zu nutzen, ohne die Sicherheit der Anlage aus den Augen zu verlieren.

Autor: Bernhard Teufel