8.547 exponierte Energiesysteme in ganz Europa entdeckt

Forscher haben 8.547 exponierte Energiesysteme identifiziert, die mit Solar- und Windkraftanlagen in 35 europäischen Ländern verbunden sind. Zu den Ergebnissen gehören Verwaltungsoberflächen und Steuerungspanels, die über das öffentliche Internet erreichbar sind.

Das Internet-Intelligence-Unternehmen Modat untersuchte die Infrastruktur für erneuerbare Energien in 40 Ländern der EU, der EFTA und der EU-Beitrittskandidaten. Obwohl die meisten Oberflächen Anmeldeseiten anzeigten, berichteten die Forscher, dass sie an 181 Standorten die vollständige Kontrolle über die Systeme erlangen konnten.

Die Ergebnisse betreffen potenziellen unbefugten Zugriff und mögliche Betriebsstörungen. Sie belegen nicht, dass Angreifer sämtliche exponierten Systeme kompromittiert oder Stromausfälle verursacht haben.

Solaranlagen machen den größten Anteil der exponierten Systeme aus

Die Solarinfrastruktur machte mit 7.942 öffentlich erreichbaren Systemen in 34 Ländern den größten Anteil der Ergebnisse aus.

Auf Spanien entfielen 2.766 dieser exponierten Systeme, was etwa 35 Prozent der gesamten Solarenergie-Kategorie entspricht. Zusammen machten Spanien, Deutschland, Griechenland und Italien 76 Prozent aus.

Unterdessen identifizierten die Forscher 605 exponierte Windkraftsysteme in 23 Ländern. Deutschland und Italien waren zusammen für 67 Prozent dieser Kategorie verantwortlich.

In den Niederlanden wurden 132 exponierte Solarsysteme und neun Windkraftsysteme festgestellt.

Diese Zahlen beschreiben die Systeme, die die Forscher während ihrer Untersuchung identifizierten. Sie zeigen nicht, welcher Anteil der Infrastruktur für erneuerbare Energien in den einzelnen Ländern exponiert war.

Forscher berichten von vollständiger Kontrolle an 181 Standorten

Bei den meisten Oberflächen mussten Nutzer zunächst eine Anmeldeseite passieren. Die Forscher erklärten jedoch, dass sie an 181 Standorten die vollständige Kontrolle erlangen konnten.

Zu den verfügbaren Funktionen gehörte die Möglichkeit, einzelne Windkraftanlagen anzuhalten oder einen gesamten Windpark abzuschalten. Der Zugriff ermöglichte außerdem Einblicke in aktuelle Produktionsdaten und die Standorte der Windkraftanlagen.

Diese Unterscheidung trennt die Sichtbarkeit im Internet vom direkten operativen Zugriff. Eine öffentlich erreichbare Anmeldeseite stellt eine Exponierung dar, bedeutet aber nicht automatisch, dass jeder die dahinterliegende Ausrüstung steuern kann.

Dennoch weist die gemeldete Kontrolle über einige Anlagen auf ein unmittelbares Risiko hin. Unbefugte Änderungen könnten die Energieproduktion beeinträchtigen, anstatt lediglich Informationen offenzulegen.

Aus dem Bericht geht nicht hervor, dass die Forscher tatsächlich Windkraftanlagen oder ganze Windparks abgeschaltet haben.

Öffentlich erreichbare Oberflächen machten die Infrastruktur leicht auffindbar

Modat erklärte, dass seine Forscher die exponierten Energiesysteme innerhalb weniger Stunden ausfindig machen konnten.

Laut Gründer und CEO Soufian El Yadmani stellt die Infrastruktur für erneuerbare Energien eine fragmentierte digitale Landschaft dar. Betreiber überwachen nicht immer ihre über das Internet erreichbaren Systeme, was es erschwert, einen vollständigen Überblick über deren Exponierung zu behalten.

Folglich könnte dieselbe Sichtbarkeit, die den Forschern bei der Identifizierung der Steuerungspanels half, auch Angreifern ermöglichen, potenzielle Ziele zu entdecken.

Das Problem geht über die Sicherheit einzelner Anlagen hinaus. Tausende separat verwaltete Oberflächen stellen eine größere Herausforderung dar, wenn es darum geht, Schwachstellen im gesamten Sektor zu identifizieren und zu beheben.

Administratoren werden über exponierte Systeme informiert

Die Forscher benachrichtigten die für die betroffenen Oberflächen verantwortlichen Administratoren und forderten sie auf, die Systeme vom öffentlichen Internetzugang zu trennen.

Diese Empfehlung betrifft den Zugriff auf Verwaltungs- und Steuerungsoberflächen und nicht die generelle Abschaltung der Stromerzeugung.

Das Forschungsteam präsentierte seine Ergebnisse Anfang derselben Woche auf der The ONE Conference in Den Haag.

Die Untersuchung folgt auf frühere Sicherheitsbedenken hinsichtlich vernetzter Geräte für erneuerbare Energien. Im Juli berichteten der Chaos Computer Club und ein Sicherheitsforscher über schwerwiegende Schwachstellen in Hoymiles-Wechselrichtern für Solaranlagen auf Balkonen und Dächern.

Die neuen Erkenntnisse erweitern den Fokus von einzelnen Produkten auf die Erreichbarkeit operativer Systeme in ganz Europa. Für betroffene Betreiber stellt sich unmittelbar die Frage, ob Außenstehende auf sensible Steuerungsfunktionen zugreifen können und welche Handlungen diese Verbindungen ermöglichen.