Sicherheit von über das Internet steuerbaren Industrieanlagen

Transkript

1 Deutscher Bundestag Drucksache 17/ Wahlperiode Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Dr. Konstantin von Notz, Ingrid Hönlinger, Jerzy Montag, Josef Philip Winkler und der Fraktion BÜNDNIS 90/DIE GRÜNEN Drucksache 17/13659 Sicherheit von über das Internet steuerbaren Industrieanlagen Vorbemerkung der Fragesteller DieZeitschrift c't berichtetinihrerausgabevom6.mai2013,hunderteindustrieanlagenindeutschlandundeuropaweitstündenfürhackerangriffeweit offen.soseiesit-expertendesblattesmitwenigenmausklicksgelungen,nicht nurdenzugangzusteuerungseinheitenvonanlagen,wieetwafabriken, GefängnissenundHeizkraftwerken,zuerlangen,sondernauchdenZugangzu entsprechendenadministrationsrechten.sohabemantheoretischdieschließanlageeinesfußballstadionsmitrund40000sitzplätzenebensomanipulieren unddiealarmanlageausschaltenkönnen,wieauchdenzugangzursteuerung derheizungsanlageeineshessischengefängnisseserlangenkönnen.privat betriebeneblockheizkraftwerkeseienebensozugänglichgewesen,wiederzugang zu den Kontrollen über die Fernwärmeversorgung einer ganzen Region. DasBundesamtfürSicherheitinderInformationstechnik (BSI)habebestätigt, dassesindeutschlandrund500derartigebetroffeneanlagengebe,dieallesamt mitüberdasinternetverfügbarensteuerungsmodulenausgestattetseien,was alskritischeinzustufensei.denredakteurenderzeitschriftseiesgelungen, ohnespezielleauthentifizierungaufdievirtuellenschaltzentralenzuzugreifen. DieSicherheitslückenseienbereitsimFebruar2013entdecktworden,dieRedakteure hätten daraufhin sofort das BSI informiert. NachAuskunftdesBSIhandeltessichausschließlichumeinbereitsseitlängerembekanntesProblemeinesHerstellersvonHeizungsanlagen,dieausGas nichtnurwärme,sondernauchstromherstellen (vgl.heise-onlinevom15.mai 2013, Leck html). Laut c't seienauchandere,nichtvonderbeschriebenensicherheitslückebetroffenesteuersysteme,tickendezeitbomben.diesogenanntenindustrieanlagenwürdenmeistdurcheingebetteteweb-systeme (embeddedsystems)gesteuert,dienachderinstallationmeistnichtregelmäßigmitsoftware-updates gepflegtwürden.it-expertenempfehlendeshalbdiestriktetrennungdieser SteueranlagensowohlvomFirmennetzalsauchvomInternet (vgl.dpa-tickermeldung vom 2. Mai 2013). DieAntwortwurdenamensderBundesregierungmitSchreibendesBundesministeriumsdesInnernvom13.Juni2013übermittelt. Die Drucksache enthält zusätzlich in kleinerer Schrifttype den Fragetext.

2 Drucksache 17/ Deutscher Bundestag 17. Wahlperiode 1.WannhabendieBundesregierungbzw.daszuständigeBundesministerium desinnern (BMI)unddienachgeordnetenzuständigenBehörden (BSI,BundesamtfürBevölkerungsschutzundKatastrophenhilfeetc.)vomobigen VorgangerstmaligKenntniserlangtundentsprechendweitergeleitet (bitte den genauen Meldeweg und die beteiligten Gremien aufzählen)? InderVorbereitungderVeröffentlichungenaufHeise.deundinderc'thatder Heise-Redakteuram7.Februar2013dasCERT-BunddesBundesamtesfür SicherheitinderInformationstechnik (BSI)überdieSicherheitslückeninden HeizungssteuerungsanlageninformiertundumeineBewertunggebeten.Das BSIhateineBewertungvorgenommenundam8.Februar2013denHersteller derbetroffenensteuerungsanlage,sowiedasnationalecyber-abwehrzentrum mitdendarinvertretenenbehördeninformiert.weiteremeldungenerfolgten nicht. DerzitierteHeise-ArtikelenthältkeineInformationen,diefürIT-Sicherheitsexpertengrundlegendneusind.DasBSIbearbeitetdasThemaSicherheitvon Industriesteuerungsanlagenseit1998insbesondereimRahmenseinerZusammenarbeitmitdenKritischenInfrastrukturenundinKooperationmitanderen Behörden,etwademBundesamtfürBevölkerungsschutzundKatastrophenhilfe (BBK).SeitdemAuftauchendesStuxnet-WurmsimJuni2010hatdieBedrohungsbewertungmitdemVorliegendeserstenNachweises,dassderartige Angriffe tatsächlich stattfinden, eine neue Dimension angenommen. 2.WelcheMaßnahmenwurdendaraufhinkonkretveranlasst,undwelcheBehörde und Stelle innerhalb der Behörde trug dafür die Verantwortung? DasBSIhatdenHerstellerderSteuerungsanlageunverzüglichgebeten,die SicherheitslückezuschließenunddieLieferantenundKundenüberdieThematik zuinformieren.ebenfallsunverzüglichhatcert-bunddiebetreibersicherheitskritischeranwendungsfällebenachrichtigtundgeeignetesicherheitsmaßnahmen empfohlen. 3.WiebewertetdieBundesregierungdieaufgetretenenSicherheitslückenim HinblickaufdieeinschlägigenSicherheitsstandardsunddiedamitverbundenen Risiken für die Allgemeinheit? InderStromversorgung,aberauchinanderenBranchenKritischerInfrastrukturen,diewesentlicheDienstleistungenfürunsereGesellschaftbereitstellen,werdenzunehmendAutomatisierungs-,Prozesssteuerungs-und-leitsysteme,auch als SCADA-Systeme bezeichnet, eingesetzt. DiesetechnischenSystemekönnenebensovonSchwachstellenbetroffensein wieherkömmlichebüro-it.hierausergebensich jenachanwendungsfall durchausrisikenfürdiejeweiligeinfrastruktur.einegenauerisikoeinschätzungistaufgrundderdiversitätderanwendungsfällesolchersystemenicht pauschal möglich. DasBSIhatbereits2008entsprechendeHinweiseundEmpfehlungenzurInformationstechnikinderProzessüberwachungund-steuerungvorgelegt (www. bsi.bund.de/de/themen/cyber-sicherheit/themen/ikt-gestuetzte_ Technologiebereiche/SCADA/scada_node.html). 4.GehtdieBundesregierungdavonaus,dassderVorganglediglichProbleme eineskonkretenproduktes (etwaheizungsanlageneinesbestimmtentyps) betrifft,oderhandeltessichumeingenerellesproblemvonüberdasinternet

3 Deutscher Bundestag 17. Wahlperiode 3 Drucksache 17/14031 erreichbaren,aufdemfreienmarkterhältlichensteuersystemenvonindustrieanlagen? EshandeltsichhierbeiinkeinerWeiseumeinenEinzelfall.DasBSIhatinder VergangenheitbereitsKenntnisüberweitereSchwachstelleninIndustriesteuerungsanlagenerhaltenundandenjeweiligenHerstellergemeldet.DiedabeigewonnenenallgemeinenErkenntnissewerdenfürverschiedeneZielgruppenwie HerstellerundAnlagenbetreiberaufbereitet,sodassdiegesamteIndustrievon diesen Aktivitäten des BSI profitiert. DasBSIhatauchfürHeimanwenderinternetverbundenerHaustechniksteuerungsanlagenentsprechendeEmpfehlungenveröffentlicht: ( Internetverbundene_Systeme_ html). 5.WelcheSchlussfolgerungenziehtdieBundesregierungausderEinschätzung vonit-experten,wonachsog.eingebettetesteuersystemeohnelaufende UpdateseineweitverbreitetevergleichbareSchwachstelleinderSicherheit vonindustrieanlagendarstellen,undwelchemaßnahmenschlägtsiezur Behebung dieser Sicherheitslücke vor? InvielenAnwendungsfällenistesnachAussagenderBetreibernichtmöglich, SteuersystememitUpdateszuversorgen.HierfürwerdenzweiGründegenannt: ZumeinenkönntehierdurchdieVerfügbarkeitderSystemegefährdetwerden, was zu einem Produktionsausfall führen kann. ZumanderensindÄnderungenansolchenSystemenhäufigdurchvertragliche RegelungenodergesetzlicheVorgabenausgeschlossen,daandernfallsdieBetriebserlaubnis oder die Gewährleistung erlischt. GleichwohlistnachEinschätzungdesBSIderUpdateprozessauchindiesen FällenGrundlagefürdieGewährleistungdernotwendigenSicherheit,wobeiin EinzelfällenauchalternativeMaßnahmen (z.b.aufinfrastrukturelleroderorganisatorischerebene)imzugeeinergesamtrisikobewertungausreichendsein können. 6.AufwelcheWeisehatdasBSIdieGesamtzahlvonetwa500betroffenenAnlagenermittelt,unddurchwelcheGemeinsamkeitensinddiebetroffenen Anlagen charakterisiert? BeieinigenSuchmaschinenexistierenMöglichkeiten,gezieltmitspezifischen SuchmusternnachbestimmtenIT-Systemenzusuchen.IndenProtokollender VerbindungsdatengibtesParameter,dieinallendiesenSystemenenthaltensind. 7.WelcheVorschlägehatdasBSIgegenüberdemHerstelleroderdenjeweiligenHerstellernderproblembehaftetenProduktegemacht,undwelchekonkreten Änderungen wurden durch diese daraufhin veranlasst? DemHerstellerderbetroffenenAnlagewurdeempfohlen,diePasswörterbeider ÜbertragungingeeigneterFormzusichern.ZudemwurdederHerstellerum eineinformationandiekundengebeten.nachauskunftdesherstellershatdieserdaraufhindieübertragungswegeunddenwebservergehärtet,seinekunden informiert und über den Kundendienst die Updates eingespielt.

4 Drucksache 17/ Deutscher Bundestag 17. Wahlperiode 8.WurdendiebetroffenenBetreiberderIndustrieanlagenmittlerweileinformiert, und wenn nein, weshalb nicht? AlledemBSIbekanntenBetreiberwurdenunverzüglichinformiert.NachAuskunftdesHerstellerswurdendieihmbekanntenBetreiberdurchihnebenfallsinformiert. 9.KanndasBSIbestätigen,dassdiebeschriebenenSicherheitslückenmittlerweile behoben sind, und wenn nein, warum nicht? DerHerstellerderHeizungsanlagehatdasProblembehoben;derHerstellerder Steuerungsanlage hat Maßnahmen zur Behebung des Problems eingeleitet. 10.HandeltessichbeidenbeschriebenenSicherheitslückenumeinennach demreferentenentwurfdesbmifürein GesetzzurErhöhungderSicherheitinformationstechnischerSysteme (abrufbarunterwww.bmi.bund.de) meldepflichtigenvorgang,undsinddieherstellerz.b.vonheizanlagen Betreiber kritischer Infrastrukturen im Sinne des Gesetzes? NachArtikel1Nummer4desReferentenentwurfsfüreinGesetzzurErhöhung dersicherheitinformationstechnischersystemehabenbetreiberkritischerinfrastrukturenschwerwiegendebeeinträchtigungenihrerinformationstechnischen Systeme,KomponentenoderProzessezumelden.Schwerwiegendsinddanach solchebeeinträchtigungen,dieauswirkungenaufdiefunktionsfähigkeitder betriebenenkritischeninfrastrukturenhabenkönnen.zurbeantwortungder FragenachdemBesteheneinerMeldepflichtistdaherdieVorfragezuklären,ob essichvorliegendbeidenherstellernumeinenbetreiberkritischerinfrastrukturenimsinnedesreferentenentwurfshandelt.hierfüristnachartikel1nummer5desreferentenentwurfsdurchrechtsverordnungzubestimmen,welche Einrichtungen,AnlagenoderTeiledavonindenSektorenEnergie,InformationstechnikundTelekommunikation,TransportundVerkehr,Gesundheit,Wasser,ErnährungsowieFinanz-undVersicherungswesen,vonhoherBedeutung fürdasfunktionierendesgemeinwesenssindunddurchihrenausfalloder BeeinträchtigungnachhaltigwirkendeVersorgungsengpässeodererhebliche StörungenderöffentlichenSicherheitverursachenwürden,unddamitalsokritische Infrastrukturen im Sinne dieses Regelwerks darstellen. 11.WerträgtnachAuffassungderBundesregierunginderGemengelageaus Herstellern,Softwarelieferantenbzw.installierendenUnternehmern,IntermediärenundEndnutzernwelchenzivilrechtlichenHaftungsanteilfürdie InstallationundInbetriebnahmeeinesauchausBSI-Sichtgravierende SicherheitslückenbietendenSteuerungssystemssowiemöglichezivilrechtlichrelevanteFolgenimFalleeinermissbräuchlichenAusnutzungder Sicherheitslücke? FürdieHaftung,denHaftungspflichtigenunddenjeweiligenUmfangderHaftungmehrererBeteiligtersindstetsdieUmständedesEinzelfalles vertragliche Beziehungen,etwaigesMitverschuldendergeschädigtenSeiteu.Ä.m. maßgeblich. 12.Triffteszu,dassnachbundesdeutschemProdukthaftungsrechtdieHerstellereinerentsprechendlückenhafteingerichtetenSteueranlagekeinerechtlichePflichtzurBehebungoderVerhinderungderaufgetretenenMängel trifft bzw. etwa zum Patchen einer aufgetretenen Sicherheitslücke?

5 Deutscher Bundestag 17. Wahlperiode 5 Drucksache 17/14031 DenRegelungendesProdukthaftungsgesetzes (ProdHaftG)istzuentnehmen, dasssiekeinepflichtzurmängelbeseitigungbegründen,sonderneineverschuldensunabhängigegefährdungshaftung,dieaufdenersatzdesdurcheinfehlerhaftesproduktentstandenenpersonen-odersachschadensananderengegenständenalsdemproduktselbstgerichtetist.siesindaufproduktegemäßder Legaldefinitiondes 2ProdHaftGanwendbar.ObundinwieweitComputerprogrammeProdukteindiesemSinnesind,istumstritten,mitderh.M.jedochjedenfallsdannzuverneinen,wennnichtderWaren-,sondernderDienstleistungscharakterderSoftwareüberwiegt,essichalsoumeineindividuelleAnfertigung füreinebestimmteeinrichtunghandelt.diebehebungdesproduktmangels selbstkannnurinnerhalbvertraglicherbeziehungen (Kauf-oderWerkvertrag) und hieraus begründeter Gewährleistungsansprüche verlangt werden. 13.FürwelcheSchadensformenhaftenHerstellersowohlvonHard-alsauch Software,wennMängelanderenProduktenkausalwerdenfürdietypischerweiseinVerbindungmitlängerandauerndenStromausfällenauftretenden Schäden? SoweitessichumProduktei.S.d. 2ProdHaftGhandelt d.h. (bewegliche) Hardwarekomponentenundnichtindividualisierte (Standard-)Software,haftet derherstellerverschuldensunabhängigfürschädenankörper,gesundheitoder Eigentum,diedurchdasfehlerhafteProduktentstandensind,aufErsatzdieses SchadensnachdenRegelungendesProdHaftG.DerProduktfehlermussineinem Zurechnungszusammenhang mit dem eingetretenen Schaden stehen. Nach 823Absatz1desBürgerlichenGesetzbuchs (BGB)kannsichfürHerstellereineverschuldensabhängigeHaftungfürSchädenanLeben,Körper,Gesundheit,Freiheit,EigentumodereinemsonstigenRecht,z.B.demRechtauf eingerichteten und ausgeübten Gewerbebetrieb, ergeben. 14.BeabsichtigtdieBundesregierunggesetzlicheVeränderungenbeiderVerantwortungsverteilung (sowohlzivilrechtlichalsauchöffentlich-rechtlich) zurgewährleistungeinesübergreifenden,einheitlicheregelungenermöglichendenansatzesbeiderit-sicherheit,insbesonderemitblickaufdie IT-Hersteller, und wenn nein, warum nicht? DerAbstimmungsprozesszudeminFrage10genanntenReferentenentwurfund damitauchzufragenderverantwortungsverteilungistinnerhalbderbundesregierung noch nicht abgeschlossen. 15.Stehengegenwärtigöffentlich-rechtlicheBefugnissefürMaßnahmender BehebungderobenbeschriebenenSicherheitslückengegenüberdemHerstellerzurVerfügung,undwennnein,wiebewertetdieBundesregierung das Fehlen entsprechender Befugnisse? DasBSIhatnach 7desGesetzesüberdasBundesamtfürSicherheitinder InformationstechnikdieBefugnis,vorSicherheitslückenininformationstechnischenProduktenundDienstenzuwarnen.DamitderWarnungaberauch potenzielleangreiferaufdiebestehendenlückenhingewiesenwerden,istes ausfachlichersichtvorzugswürdigundsoauchvomgesetzvorgesehen,den HerstellerzukontaktierenundihnzurSchließungderLückenaufzufordern. Eine Befugnis, zur Lückenschließung anzuweisen, besteht nicht. AuchohneeinesolchegesetzlicheBefugnishatderHerstellerindemhierin RedestehendenVorfallmitdemBSIkooperiertundmitAbsicherungsmaßnahmen begonnen.

6 Drucksache 17/ Deutscher Bundestag 17. Wahlperiode ImFallfehlenderKooperationsbereitschaftkanndasBSIdiebetroffenenKreise warnen.inderregelführensolchewarnungenzuerhöhtemöffentlichendruck aufdenherstellerunddortzugesteigertenanstrengungen,diesicherheitslückenzuschließen.imgegensatzzugesetzlichendurchsetzungsbefugnissen, dienotwendigerweiseaufdasgebietderbundesrepublikdeutschlandbeschränktseinmüssten,wirktdiewarnungsichauchaufherstelleraus,dieihren Sitz außerhalb des Bundesgebietes haben. 16.WelcheSchlussfolgerungenundKonsequenzenziehtdieBundesregierung ausderempfehlungvonit-experten,wonachdiesteuerungseinheitenvon IndustrieanlagengenerellwederüberdasFirmennetznochüberdasInternetzugänglichseinsolltenbzw.allenfallsübersog.VPN-Tunnel (VPN = Virtual Private Network) mit starker Verschlüsselung? PrinzipiellisteinestrikteTrennungzwischenIndustrieanlagenaufdereinenund InternetoderFirmennetzaufderanderenSeitezufavorisieren.Allerdingssind dieabhängigkeitenzwischendiesensystemenmituntersehrhoch.dahergibt essynergie-effektedurchdievernetzungdiesersysteme,welcheletztlichdazu beitragen,deutschlandalsproduktionsstandortattraktivzumachen.sowerden beispielsweisesteuerungsanlagenmitwarenwirtschaftssystemenvernetzt.zudemwurdemitindustrie4.0derwegeingeschlagen,produktionsprozesseüber diegesamtewertschöpfungskettemiteinanderzuvernetzenundzuoptimieren. MiteinerstriktenTrennungistdiesnichtmöglich.NatürlichsollteeineVernetzungvonSteuerungsanlagenauchimmermitdemEinsatzgeeigneterSicherheitsmechanismenwieVPN-Technologien (VirtualPrivateNetwork),Firewalls und Malwareschutz einhergehen.

7

8 Gesamtherstellung: H. Heenemann GmbH & Co., Buch- und Offsetdruckerei, Bessemerstraße 83 91, Berlin, Vertrieb: Bundesanzeiger Verlagsgesellschaft mbh, Postfach , Köln, Telefon (02 21) , Fax (02 21) , ISSN