Fallstudie: OT-Penetrationstest in einem Kraftwerksumfeld
Eine Woche vor Ort, zwei OT-Spezialisten, ein Kraftwerksstandort. Das Zutrittskontrollsystem ließ sich kompromittieren, offene Netzanschlüsse und interne OT-nahe Anwendungen ergaben zusammen eine durchgehende Angriffskette.
Ein mittelgroßer Energieversorger wollte wissen, wie realistisch ein Angriff auf sein Kraftwerksumfeld tatsächlich ist. Geprüft wurde eine Woche lang von zwei OT-Spezialisten, in klar abgegrenzten Bereichen und ohne Eingriff in produktive Steuerungen. Gefunden wurde eine Kette, die beim Zutrittssystem beginnt.
Auftrag, Umfang und Rahmen
Eine Woche vor Ort, zwei Spezialisten, klar abgegrenzte Testbereiche.
Kunde und Umfeld
Ein mittelgroßer Energieversorger, geprüft wurde an einem Kraftwerksstandort. Der Kunde wollte wissen, wie realistisch ein Angriff auf sein Kraftwerksumfeld tatsächlich wäre.
Dauer und Team
Rund eine Woche vor Ort, durchgeführt von zwei OT-Sicherheitsspezialisten. Vorbereitung und Bericht kamen hinzu.
Umfang und Randbedingungen
Zutrittskontrollsystem, interne OT-nahe Anwendungen und ausgewählte OT-Netzsegmente. Klar abgestimmte Testbereiche, keine Eingriffe in produktive Steuerungssysteme.
Vier Fragen, die beantwortet werden sollten
Im Fokus standen physische und technische Möglichkeiten für einen initialen Zugang, die Sicherheit des eingesetzten Zutrittskontrollsystems, interne Anwendungen mit Bezug zu OT-Systemen sowie Segmentierung und Zugriffsmöglichkeiten innerhalb definierter Netzbereiche.
Die Prüfung war damit bewusst breiter angelegt als ein reiner Netzwerktest. Sie sollte die Frage beantworten, ob sich physische und digitale Wege zu einer durchgehenden Angriffskette verbinden lassen.
Das Zutrittskontrollsystem war technisch angreifbar
Geprüft wurde ein verbreitet eingesetztes Zutrittskontrollsystem, hier anonymisiert. Die Frage war, ob ein Angreifer mit begrenztem Vorwissen und realistischen Mitteln administrative Kontrolle erlangen oder unbefugte Zutrittskarten erzeugen könnte.
Innerhalb des vereinbarten Umfangs gelang die Kompromittierung so weit, dass eine neue Zutrittskarte hätte erstellt werden können. Ursache war eine Kombination aus unzureichend abgesicherten Verwaltungszugängen, fehlender Härtung einzelner Komponenten und strukturellen Schwächen im Berechtigungskonzept. Die Ausnutzung erfolgte kontrolliert, wurde in Abstimmung mit dem Kunden sofort gestoppt und dokumentiert.
Die eigentliche Erkenntnis war nicht der erfolgreiche Zugriff, sondern dass das physische Sicherheitskonzept über einen digitalen Weg aushebelbar war.
Wo die weiteren Wege lagen
Jeder für sich beherrschbar. In Kombination ergaben sie eine durchgehende Kette.
Zugang ins interne Netz
Bei Begehung und technischer Prüfung fanden sich mehrere mögliche Einstiegspunkte, darunter frei zugängliche und aktive Netzwerkanschlüsse in bestimmten Bereichen. Funktional, aber nicht zusätzlich abgesichert.
OT-nahe Webanwendungen
Mehrere interne Anwendungen mit Bezug zu OT-Systemen, extern nicht erreichbar, intern schon. Gefunden wurden Schwächen in der Authentifizierung, unzureichende Zugriffskontrollen und privilegierte Funktionsaufrufe. Unter kontrollierten Bedingungen ließ sich erweiterter Zugriff erlangen.
Segmentierung
In abgestimmten Netzbereichen wurde vorsichtig analysiert, welche Kommunikationspfade tatsächlich bestehen, wo die Übergänge zwischen IT- und OT-Zonen liegen und welche Erreichbarkeiten unerwartet waren. Nicht-disruptiv und auf freigegebene Bereiche beschränkt.
Wie die Kette zusammenlief
Jeder Befund für sich war beherrschbar. Der Wert der Prüfung lag darin, sie zu verbinden.
Zutrittssystem kompromittiert
Über unzureichend abgesicherte Verwaltungszugänge wurde administrative Kontrolle erlangt. Damit wäre die Erzeugung einer gültigen Zutrittskarte möglich gewesen.
Physischer Zugang zum Gelände
Mit einer solchen Karte entfällt die Hürde, die das Sicherheitskonzept als erste vorsieht. Ab hier bewegt sich ein Angreifer im Gebäude wie jeder Mitarbeitende.
Netzanschluss im Gebäude
Frei zugängliche und aktive Anschlüsse in bestimmten Bereichen. Funktional, nicht zusätzlich abgesichert, damit als Einstiegspunkt ins interne Netz nutzbar.
Rechte über interne Anwendungen
Aus dem internen Netz waren OT-nahe Webanwendungen erreichbar, deren Authentifizierung und Zugriffskontrolle Schwächen aufwiesen. Erweiterter Zugriff war unter kontrollierten Bedingungen möglich.
Reichweite in Richtung OT
Die Segmentierungsanalyse zeigte, welche Kommunikationspfade tatsächlich bestehen und wo Erreichbarkeiten unerwartet waren. Damit ließ sich beziffern, wie weit die Kette getragen hätte.
Was der Kunde am Ende hatte
Innerhalb einer Woche ließen sich mehrere realistische Angriffswege belegen: die technische Kompromittierung des Zutrittskontrollsystems, physisch realisierbare Einstiegspunkte ins interne Netz und eine Rechteausweitung über interne Anwendungen, die auf einen initialen Zugang aufgesetzt hätte.
Der Bericht ordnete jeden Befund technisch ein und dokumentierte die Schritte reproduzierbar. Er trennte die Sofortmaßnahmen von dem, was in ein Wartungsfenster gehört. Für die Geschäftsführung kam ein Management Summary dazu, das die Angriffskette in einer Seite darstellt.
Entscheidend war für den Kunden weniger die Zahl der Befunde als der Nachweis, dass physische und digitale Wege zusammenhängen. Zutritt und Netzwerk wurden bis dahin von verschiedenen Bereichen verantwortet.
Was nicht geprüft wurde und warum
Der Umfang war vorher festgelegt. Was außerhalb lag, blieb außerhalb.
Keine produktiven Steuerungen
An Steuerungs- und Sicherheitssystemen im Produktivbetrieb wurde nicht aktiv getestet. Aussagen dazu stammen aus passiver Analyse und Konfigurationsprüfung, nicht aus Eingriffen.
Nur freigegebene Netzbereiche
Die Segmentierungsanalyse beschränkte sich auf vorher abgestimmte Bereiche. Nicht freigegebene Segmente wurden weder erreicht noch bewertet.
Abbruch bei Erfolg
Beim Zutrittssystem wurde die Ausnutzung gestoppt, sobald die Machbarkeit belegt war. Es wurde keine Karte erzeugt und kein Zutritt genommen.
Was Sie daraus für Ihren Standort mitnehmen können
Drei Punkte lassen sich auf die meisten Kraftwerks- und Anlagenstandorte übertragen.
Erstens: Zutrittskontrolle ist ein IT-System. Sie wird in vielen Häusern von der Gebäudetechnik verantwortet und taucht deshalb in keiner IT-Sicherheitsbetrachtung auf, obwohl sie Verwaltungszugänge, Berechtigungskonzepte und Netzanbindung hat wie jede andere Anwendung.
Zweitens: Aktive Netzwerkanschlüsse in allgemein zugänglichen Bereichen sind ein Klassiker, weil sie irgendwann für einen Zweck gelegt und danach nie zurückgebaut wurden. Sie lassen sich innerhalb eines Tages inventarisieren.
Drittens: Interne Anwendungen mit OT-Bezug werden selten geprüft, weil sie nicht aus dem Internet erreichbar sind. Genau deshalb sind sie oft der Hebel, der aus einem Fußfassen im Netz eine ernsthafte Ausweitung macht.
Ein ähnliches Vorhaben?
Referenzdetails nennen wir nach Freigabe und im persönlichen Gespräch.