Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat uns eine aktuelle IT-Sicherheitsinformation zur Auskundschaftung schlecht geschützter Photovoltaikanlagen durch russische Cyberakteure übermittelt.
Kerninhalte des Schreibens
Das BSI und das Bundesamt für Verfassungsschutz (BfV) beobachten derzeit Aktivitäten staatlicher Cyberakteure, die gezielt Photovoltaikanlagen aufklären, die ungeschützt mit dem Internet verbunden sind. Besonders im Fokus stehen dabei Monitoring-Systeme, über die auch steuernde Eingriffe auf Anlagen möglich sind.
Betreiber solcher Anlagen sind nach Einschätzung der Behörden häufig Private, Genossenschaften oder kleinere Betriebe. Fehlende IT-Sicherheitsstrukturen und die Installation und Einrichtung der Anlagen durch Fachfirmen ohne Schwerpunkt im Bereich IT-Sicherheit führen, laut BSI, unter Umständen zu unbemerkten Sicherheitsdefiziten.
Konkrete Hinweise auf bereits erfolgte Kompromittierungen gibt es laut den Behörden bisher nicht. Denkbar sei BSI und BfV zufolge jedoch, dass es sich um vorbereitende Maßnahmen handelt, die auf eine spätere Nutzung im Sinne von Vorpositionierung oder Sabotage abzielen könnten. Die Gefährdung sei dort relevant, wo Systeme unzureichend abgesichert oder direkt erreichbar sind, da sich diese vergleichsweise leicht kompromittieren lassen.
Mögliche Nutzungsszenarien sind laut BSI Desinformation, der Abgriff von Zugangsdaten, die Übernahme von Accounts sowie die Einbindung in Botnetze oder die Verschleierung von Angriffsinfrastrukturen. Zudem weist das BSI darauf hin, dass bei einer größeren Anzahl betroffener Anlagen auch Auswirkungen auf Energieerzeugung und Netzstabilität denkbar sind.
Handlungsempfehlungen der Sicherheitsbehörden
Das BSI empfiehlt zu prüfen, ob Anlagen aus dem Internet erreichbar oder mit Cloud-Diensten des Herstellers verbunden sind, und dies gegebenenfalls zu unterbinden oder auf lokalen Betrieb umzustellen. Externe Zugriffe sollten ausschließlich über abgesicherte Verbindungen erfolgen; „Port-Forwarding“ sollte nicht eingesetzt werden, stellt das BSI klar.
Das BSI empfiehlt, von der Beschaffung von Produkten abzusehen, die zur Erbringung ihrer Funktionalität auf digitale Dienste des Herstellers angewiesen sind, da bei Geschäftsaufgabe oder auslaufendem Produktsupport des Herstellers ein Totalverlust für den Betreiber erwartet werden kann. Weiterhin weist das BSI darauf hin, dass Passwörter und weitergehende vorhandene Sicherheitsfunktionen konsequent genutzt und ausgeschöpft werden sollten.
Laut BSI sollte regelmäßig geprüft werden, ob Softwareupdates verfügbar sind, und insbesondere sicherheitsrelevante Updates zeitnah installiert werden. Bei dauerhaft internetabhängigen Systemen wird die Nutzung automatischer Updates empfohlen. Das BSI stellt klar, dass die Nutzung dynamischer IP-Adressen keinen adäquaten Schutz darstellt.