Digitale Piraten kapern Schiffe

Hacker nehmen vermehrt Schiffe und Häfen ins Visier. Durch die zunehmende Ausstattung mit Datentechnik sowie Vernetzung von OT (Operational Technology) und IT bieten sie eine genauso große Angriffsfläche wie klassische Unternehmen an Land. Vier Schritte sollten Reedereien einhalten, um der digitalen Piraterie einen Riegel vorzuschieben, rät die Security Division von NTT Ltd.

Ob es die Navigationssysteme auf der Schiffsbrücke, die Wartung der gewaltigen Motoren oder die Dokumente der einzelnen Container betrifft: Immer mehr Datentechnik hält an Bord Einzug. Für die Reedereien bietet sie zahlreiche Vorteile: Sensoren und Sender können beispielsweise Informationen über den Zustand der Technik an Land schicken. Wird eine Störung gemeldet, können Mitarbeiter bei der Ankunft im nächsten Hafen direkt mit den notwendigen Ersatzteilen bereitstehen. Das spart erhebliche Kosten ein, die normalerweise für das Einfliegen von Technikern und Teilen anfallen. Um diesen Echtzeit-Status für alle Arten von Systemen wie Motoren, Ruder, Propeller und Vorschaltgeräten zu erreichen, ist eine Vernetzung zwischen OT- und IT-Systemen unabdingbar. Diese Vernetzung allerdings entfernt die wasserdichten Schotten, die es früher zwischen beiden Systemen gab, und öffnet Cyber-Kriminellen zahlreiche neue Einfallstore. Werden Schiffe Opfer eines erfolgreichen Hacker-Angriffs, könnte es zu unkontrollierbaren Schiffen auf hoher See oder in Hafengebieten kommen bis hin zu provozierten Zusammenstößen. Solche Schreckensszenarien werden insbesondere beim Betrieb unbemannter Schiffe befürchtet, mit denen mittelfristig zu rechnen ist. 

Andere Szenarien sind zum Beispiel Cyber-Angriffe auf große Häfen, die Terminals außer Betrieb setzen oder Containerladungen und vertrauliche Daten manipulieren. Solche Angriffe können zu erheblichen Schäden durch Betriebsunterbrechungen oder zu Reputationsverlusten führen. Um das Risiko von Cyber-Attacken abzuschwächen, müssen Unternehmen mögliche Szenarien simulieren und geeignete Maßnahmen zur Risikominderung identifizieren:

• Der erste Schritt ist ein „ethisches Hacking“. Security-Tests mit professionellen Penetrationstestern, die die Branche gut kennen, helfen, Sicherheitslücken in allen Bereichen, von Zugangssystemen über Netzwerke bis hin zu Betriebssystemen, zu finden und dann mit geeigneten Maßnahmen zu schließen. Aus NTT-Erfahrungen sind hier maritime Steuersysteme wie Navigation oder die Steuerung der Balasttankpumpen immer wieder ein leichtes Ziel.
   
• Der zweite Schritt ist die Überwachung der Netzwerke rund um IT- und OT-Umgebung. Dies kann mit Sensoren geschehen, die den Netzwerkverkehr passiv „abhören“, analysieren und nach Abweichungen zum „Normalverhalten“ suchen. Diese werden dann automatisch gemeldet.
   
• Der dritte Schritt ist die Bearbeitung aller Alarme rund um die Uhr. Meldet das Überwachungssystem Fehler, sollten Experten sofort prüfen, ob es sich um einen ernstzunehmenden Vorfall oder um normalen Traffic handelt. Hier gibt es natürlich Einschränkungen bei der zentralen Analyse durch Satellitenverbindungen der Schiffe auf hoher See.
   
• Der vierte Schritt ist ein umfassendes Notfallmanagement und Incident-Response-Programm. Bei einer ernsthaften Warnung müssen sofort Maßnahmen ergriffen werden, um einen erfolgreichen Angriff auf Daten zu verhindern. Das setzt das nötige Fachwissen voraus, damit erst gar kein Schaden entsteht, der Menschen, Materialien, Finanzen und Reputation gefährdet.

„Cyber-Risiken sind für die Schifffahrtindustrie, die stark vernetzt ist und in ihrem Betrieb zunehmend auf Automatisierung setzt, eine neue Gefahr. Ein Hacker-Angriff auf die Technik an Bord, insbesondere auf die elektronischen Navigationssysteme, könnte zu einem Totalverlust führen und sogar mehrere Schiffe einer Reederei betreffen. Die Unternehmen sollten deshalb mögliche Szenarien simulieren und geeignete Maßnahmen zur Risikominderung identifizieren“, erklärt Christian Koch, Director GRC und IoT/OT bei der Security Division von NTT Ltd. „Zwar ist das Sicherheitsthema für vernetzte IT- und OT-Systeme auf Schiffen noch so jung, dass gesetzliche Regelungen bislang die Ausnahme sind. Es gibt jedoch einige Normen wie NIS, MTSA3 und VIQ7, die entsprechende Richtlinien enthalten. Unternehmen, die die genannten vier Schritte befolgen, sind auf dem besten Weg zur Einhaltung dieser Standards.“  

https://hello.global.ntt/