KRITIS: Globale Kommunikation in Gefahr – Cybersecurity neu denken

Angriffe auf internationale Infrastruktur zeigen, dass Cybersecurity neu gedacht werden muss. Ein erweitertes KRITIS-Verständnis wird notwendig, doch das wird nicht ohne internationale Zusammenarbeit möglich sein.

Im neuen Jahr steht insbesondere der KRITIS-Sektor vor großen Herausforderungen. Dazu zählt nicht nur die längst überfällige NIS-2 Umsetzung, sondern auch die neuen Bedrohungen internationaler Kommunikationsinfrastruktur in Folge globaler Konflikte.

Die weltweit angespannte Konfliktsituation erzeugt neue Bedrohungen für die IT-Sicherheit. Das zeigen nicht nur die aktuellen Vorfälle in der Ostsee, sondern auch der Konflikt am Roten Meer. Was vor Jahren undenkbar war, gehört heute zum Bedrohungsalltag: Unterseekabel sind Angriffsziel. Sie gelten als die zentralen Adern des Internets, die Kontinente, Inseln oder Landesteile verbinden. Nach Angaben des Bayrischen Rundfunks sind „in den Meeren 1,4 Millionen Kilometer Kabel verlegt und in gerade einmal 500 Leitungen gebündelt“. Ausfälle können dazu führen, dass ganze Länder vom Internet abgeschnitten sind, insbesondere kleinere Inselstaaten.

Gehört es zu den Grundanforderungen an die Cybersecurity, externe Beeinträchtigung von zentralen Geschäftsprozessen abzuwehren, rücken also auch Ausfälle durch zerstörte Kabel ins Blickfeld. Die Möglichkeiten eines Unternehmens-CISOs überschreitet diese Bedrohung natürlich; der Schutz wichtiger Infrastruktur wird zur bedeutenden staatlichen Aufgabe. Nicht umsonst gelten für den KRITIS-Sektor verschärfte Anforderungen, die mit der NIS-2 Verordnung nochmals erweitert werden. Wenn Unterseekabel Länder verbinden, ist der Schutz eine bilaterale Angelegenheit. Aber nicht in allen Ländern werden diese Kabel als kritische Infrastruktur betrachtet. Schon länger gibt es die Forderung nach entsprechenden Erweiterungen, etwa vom International Cable Protection Committee (ICPC).

Sabotage: Ausfälle und Beeinträchtigungen trotz Redundanz

Angriffe auf diesen Teil der globalen Infrastruktur sind an sich einfach, die Kabel sind auf Seekarten oder Karten wie Openseamap verzeichnet. Ein Schiff, das beispielsweise in der flachen Ostsee an der richtigen Stelle einen größeren Anker über den Meeresgrund schleift, hat gute Chancen, ein Kabel zu erwischen. Die Reparaturen sind aufwendig, erfordern sie doch Spezialschiffe, um das Kabel an die Oberfläche zu holen. Diese Schiffe müssen von weit her anfahren, um die aufwendige Reparatur durchzuführen. Es kann Wochen dauern, ehe das Kabel wieder funktionsfähig ist.

Da Kabel auch ohne Sabotage-Absichten gelegentlich ausfallen können, werden Kabel gewöhnlich redundant verlegt. Das ist jedoch nicht immer der Fall, insbesondere in ärmeren Regionen. Und: Die redundanten Kabel dienen nicht nur als Fallback-Lösung für Ausfälle, sondern werden auch im regulären Betrieb zur Erhöhung der Bandbreite genutzt. Fällt ein Kabel weg, reduziert sich also auch die Übertragungsbandbreite. Das allein kann zu signifikanten Problemen und Engpässen führen.

Spionage: Unterseekabel sind nicht abhörsicher

Sabotage ist jedoch nicht die einzige Bedrohung, Spionage ist ein weiteres Problem. Glasfaserkabel sind keineswegs abhörsicher. Mit speziellen Vorrichtungen können die Lichtsignale ausgeleitet werden. Dazu ist zumeist eine leichte Biegung einzelner Adern notwendig, deren Isolierung vorab geöffnet werden muss. Das geschieht mit speziellen Geräten. Doch das hinterlässt Spuren, die teils aus der Distanz ermittelt werden können, beispielsweise durch veränderte Laufzeiten der Signale. Schon die leicht veränderte Krümmung einer Ader kann die Übertragungsleistung verändern. Damit sollten sich Unternehmen beschäftigen, die eigene dedizierte Leitungen anmieten, meist in Form von Darkfiber. Die Anbieter stellen dabei nur eine Glasfaserverbindung zur Verfügung, deren Anschluss und Verwaltung vollständig den Kunden unterliegt. Bei großen Konzernen können das auch interkontinentale Verbindungen sein. IT-Giganten wie Google, Facebook, Amazon oder Microsoft verfügen über ein eigenes weltweites Glasfasernetz. Bei kleineren Unternehmen handelt es sich in der Regel um Kontinentalverbindungen, die zum Beispiel Firmenstandorte in mehreren Städten oder Ländern verbinden. Es versteht sich von selbst, dass eine zukunftssichere Verschlüsselung aller übertragenen Daten unabdingbar ist.

Letztlich betreffen Kabelausfälle allerdings alle und nicht nur die Unternehmen mit eigenen Leitungen, denn auch Telefonie wird inzwischen überwiegend über Internet-IP-Verbindungen abgewickelt. Der E-Commerce-Handel kommt ebenso wenig ohne transkontinentale Datennetze aus wie andere alltägliche Internet-Nutzungen und insbesondere der Zahlungsverkehr. „Tagtäglich werden Finanztransaktionen in Höhe von mehr als zehn Billionen US-Dollar über die Kabelinfrastruktur abgewickelt“, schreibt ein Schweizer Security-Portal.

Auf der Suche nach neuen Schutzformen

Der Schutz von Unterwasser-Infrastrukturkomponenten wurde meist bei der Verlegung nicht mitgedacht. Doch nachträgliche Maßnahmen sind schwierig. Ein Tausende Kilometer langes Kabel kann nicht mit Schiffen abgesichert werden. Die Suche nach neuen Sicherheitstechnologien läuft auf Hochtouren.

So will die Bundespolizei gemeinsam mit Forschungseinrichtungen testen, inwieweit sich Unterwasserdrohnen zur Überwachung der Leitungen einsetzen lassen. Das dürfte jedoch eher für kürzere Verbindungen praktikabel sein, wie sie etwa bei der Steuerung von Windparks in der Nordsee zu finden sind. Die EU-Kommission plant, Teile der europäischen Unterseekabel durch ein Satellitennetz zu ersetzen, das jedoch erst aufgebaut werden muss. Gleichzeitig wird über eine Erhöhung der Redundanz durch zusätzliche Unterseekabel nachgedacht, was die Auswirkungen von Ausfällen reduzieren würde.

Zudem laufen Versuche, mit an den Kabeln angebrachten akustischen Sensorsystemen Geräuschänderungen zu diagnostizieren. Damit ließen sich verdächtige Aktivitäten in der Umgebung eines Kabels frühzeitig erkennen. Sollte sich dieser Ansatz durchsetzen, wären jedoch aufwendige Nachrüstungen an vorhandenen Kabeln notwendig, die viel Zeit in Anspruch nehmen.

Zusätzlich sind verschiedene internationale Initiativen angelaufen, um den Schutz der Unterwasserinfrastruktur zu verbessern. So haben etwa die G7-Staaten im März beschlossen, die Sicherheit von Telekommunikationskabeln in der See zu verbessern. Auch eine stärkere Überwachung von Schiffsbewegungen wird diskutiert. Künftig gilt es auch für Unternehmen, die Abhängigkeit von fremder Infrastruktur mehr denn je zu berücksichtigen.

Autor: Uwe Sievers

Kritische Infrastrukturen absichern: ohne geht nichts

Wie sicher sind unsere Kritischen Infrastrukturen? Welchen Cyber-Bedrohungen stehen KRITIS-Betreiber gegenüber? Wie sehen die Sicherheitsstandards aus und für welche Organisation gelten die Regulierungsanforderungen, die sich beispielsweise aus dem IT-Sicherheitsgesetz ergeben?

Umfassende Informationen und zahlreiche Aufzeichnungen der Vorträge von it-sa Expo&Congress sowie it-sa 365 finden Sie auf der Themenseite KRITIS.

Für die Erstellung des Beitrag verwendete Quellen:

OpenSeaMap: Karte

Bayrischer Rundfunk: Wie lassen sich Untersee-Kabel schützen?

International Cable Protection Committee (ICPC): Government Best Practices for Protecting and Promoting Resilience of Submarine Telecommunications Cables

Swiss Infosec AG: Unterseekabel als Kritische Infrastruktur und geopolitisches Machtinstrument

Tagesschau: G7 wollen Unterseekabel besser schützen

Stiftung Wissenschaft und Politik (SWP): Risse im Fundament des Internets