Cybersecurity: Der unsichtbare Kampf im digitalen Raum

Im Krieg in der Ukraine passiert viel im Hintergrund. Ukrainische Hacktivist:innen und der russische Geheimdienst kämpfen im Cyberspace. Fachleute warnen davor, diese unsichtbare Dimension des Kriegs zu unterschätzen. Der nächste Krieg wird ein Cyberkrieg, hieß es immer wieder. Vor allem, wenn eine der großen Mächte im digitalen Raum daran beteiligt ist: Russland, USA oder China. Und auch wenn der Ukrainekrieg nun vor allem ein brutaler physischer Konflikt ist, laufen im Hintergrund viele Cyberangriffe – von allen Seiten. Während Hacktivist:innen massiv russische Unternehmen und Regierungsstellen angreifen, folgen vonseiten des russischen Geheimdienstes Angriffe auf ukrainische Infrastrukturen. Vieles davon läuft versteckt, leicht unterschätzbar. Doch neueste Untersuchungen zeigen: Es entsteht so Schaden auf beiden Seiten. Dass etwas bevorstehen würde, ließ sich angesichts der Ereignisse im digitalen Raum schon im Februar 2022 erahnen. So hatte es bereits vor dem Einmarsch der russischen Truppen in die Ukraine zahlreiche digitale Angriffe auf ukrainische Infrastrukturen gegeben. Sogenannte DDoS-Attacken auf Regierungswebsites und Banken im Januar und Februar, ebenso wie zwei Wiper-Attacken. Zwischen diesen beiden Angriffsarten muss unterschieden werden. DDoS, „Distributed Denial of Service“-Attacken sind eher „Angriffe von der Stange“: Man kann sie im Internet kaufen oder beauftragen. Dann werden automatisiert Internetseiten immer wieder aufgerufen – bis die Infrastruktur zusammenbricht und sie für niemanden mehr erreichbar sind. Sollten russische Staatshacker:innen hinter diesen Angriffen stecken, blieben sie damit weit unter ihren Möglichkeiten. „Zum ersten Mal in der Geschichte des Internets ist Russland Freiwild für Cyberangriffe.“ Am Tag vor dem Einmarsch Russlands in die Ukraine erreichten die Angriffe eine neue Qualität. Eine sogenannte Wiper-Schadsoftware verbreitete sich in zahlreichen ukrainischen Systemen, insbesondere bei Vertragspartner:innen der ukrainischen Regierung. Diese Schadsoftware war laut Einschätzung von Sicherheitsexpert:innen durchaus ausgefeilt. Wiper ist eine Löschattacke: Die entsprechende Software löscht Computer und ganze Systeme. In diesem Fall offenbar besonders gründlich. Die beiden Sicherheitsunternehmen Eset aus der Slowakei sowie Symantec aus den USA fanden die Schadsoftware auf mehr als 100 Systemen ihrer Kund:innen in der Ukraine und offenbar auch in Nachbarländern. [crosslinks ids="1475867,1455855,1476767"] Sicherheitsforscher:innen verglichen den Löschalgorithmus mit dem Angriff auf Sony Pictures im Jahr 2014, bei dem innerhalb von wenigen Minuten weltweit ungefähr die Hälfte aller Daten des Unternehmens gelöscht wurden. Hinter diesem Angriff steckte Nordkorea. In diesem Fall ist es sehr wahrscheinlich, dass staatliche russische Akteure dahinterstehen – entsprechende Analysen laufen aber noch. Die DDoS-Attacken im Januar und Februar haben für die russische Angriffsstrategie dagegen aus Sicht von Marina Krotofil, einer deutschen Cybersicherheitsexpertin ukrainischer Herkunft, nur eine geringe Rolle gespielt: „Sie verfolgten keinen größeren strategischen Zweck als die allgemeine Demoralisierung der Bevölkerung und die Einschüchterung der nationalen Cyberkräfte.“ Dass die russische Seite bereits seit Jahren solche Angriffe durchführt, sei dabei strategisch nicht besonders schlau gewesen: „Die kontinuierlichen Angriffe seit 2014 machen das Land mental und technisch widerstandsfähiger.“ Die Ukraine sei dadurch heute viel besser darauf vorbereitet, strategische Operationen zu vereiteln. Nicht zuletzt rückten die USA als Verbündeter näher an die Ukraine, um in der digitalen Verteidigung zu helfen. Im Februar und März zeigte sich der wachsende Einfluss unabhängiger Gruppen und einzelner Hacktivist:innen, die entweder für die Ukraine oder für Russland Partei ergreifen. Sie führen oft einfachere Angriffe wie DDoS-Attacken aus – die nichtsdestotrotz Schaden anrichten können. Das Hackingkollektiv Anonymous rief im Februar dazu auf, russische Institutionen und Unternehmen zu hacken, auf Telegram formierte sich eine „IT-Army“ der Ukraine. Und auf der anderen Seite gaben einige russische kriminelle Hacker:innen gegenüber Medien ganz offen zu, jetzt für ihre Regierung und gegen die Ukraine zu hacken. Darunter Conti, die als eine der gefährlichsten Ransomware-Gruppen gilt, da sie über große Kapazitäten und ausgefeilte Angriffsmethoden verfügt. Ihr Bekenntnis ging aber offenbar nach hinten los: Kurz darauf leakte ein Insider massive Mengen interner Daten der Gruppe. Daraus ging nicht nur hervor, wie sie sich organisiert, sondern auch in Teilen ihr Code. Das dürfte die Gruppe empfindlich getroffen haben. Hacktivist:innen greifen in einem bisher ungekannten Ausmaß in einen Krieg ein und vermelden täglich neue Erfolge wie lahmgelegte Websites. Gleichzeitig ist es lange Zeit ruhig geblieben um die Cyberaktivitäten des russischen Geheimdienstes, vor denen im Vorfeld gewarnt worden war. Vielen ist vermutlich noch die sogenannte Notpetya-Attacke auf ukrainische Systeme im Sommer 2017 in Erinnerung, die auch zahlreiche westliche Unternehmen wie Maersk und Merck traf und weltweit einen Milliardenschaden anrichtete. Die Schadsoftware war als Ransomware „verkleidet“, gab also vor, dass eine Zahlung von Lösegeld zur Entschlüsselung der Daten führt. Sie stellte sich aber schließlich als Wiper heraus. Die Daten waren unwiederbringlich gelöscht. Die Schadsoftware verbreitete sich mit dem Update einer ukrainischen Steuersoftware und traf deshalb auch westliche Unternehmen, die mit der Ukraine Geschäftsverbindungen pflegten. Es gilt als erwiesen, dass hinter diesem Angriff der russische Geheimdienst steckte. US-Behörden haben inzwischen sechs Mitarbeiter des russischen Geheimdiensts GRU für eine Reihe von Cyberattacken angeklagt, darunter Notpetya. Ein Spielplatz für russische Cyberangriffe Notpetya sei aber bei Weitem nicht der erste Angriff Russlands auf die Ukraine gewesen, sagt der ukrainische Sicherheitsexperte Oleksii Yasinskyi im Interview. Er hat die Attacke damals im Auftrag seines Arbeitgebers, dem Sicherheitsunternehmen ISSP, analysiert: „Schon ab 2014 wurde die Ukraine Spielplatz für russische Cyberangriffe.“ Zunächst drangen Angreifer:innen in die Systeme des größten Medienunternehmens Starlight Media ein und versuchten, Daten zu löschen. Nach einigen kleineren und größeren Attacken folgten 2015 und 2016 Angriffe auf das ukrainische Stromnetz, die jeweils Stromausfälle von einigen Stunden zur Folge hatten. „Die Angreifer hätten einen weit größeren Schaden anrichten können“, sagt Yasinskyi. Vor allem der Angriff aus dem Jahr 2016 gilt als sehr ausgefeilt. Industroyer, wie Sicherheitsforschende die Malware tauften, war eine automatische Schadsoftware, die tief in die Steuerungssysteme einer Anlage eingedrungen war. Wieso gab es keinen größeren Schaden? „Es war offenbar nur eine Übung“, ist der Sicherheitsforscher überzeugt. Eine Übung für den Ernstfall – und der ist womöglich jetzt eingetreten. Im April 2022 tauchte nämlich – für Fachleute alarmierend – auf einmal Industroyer erneut auf. Eine neue Variante wurde in einem ukrainischen Kraftwerk gefunden. Industroyer 2 sollte unter anderem ein Umspannwerk eines Energieunternehmens lahmlegen, das zwei Millionen Menschen mit Strom versorgt. Aber es scheint, als waren die Angreifer des russischen Geheimdienstes nicht schnell genug: Die ukrainischen Behörden hatten offenbar rechtzeitig einen Tipp erhalten und konnten den Angriff so stoppen. Hacktivist:innen greifen in bisher ungekanntem Ausmaß in einen Krieg ein. Fachleute rätseln über die Bedeutung dieses Angriffs. Eine solche Attacke ist extrem aufwendig vorzubereiten – und es ist nicht sicher, dass sie am Ende gelingt. An sich sind solche Angriffe eine Option, wenn man nicht ohnehin in ein anderes Land einmarschiert ist. Jetzt, mit den russischen Truppen im Land und der Möglichkeit von Luftangriffen, wäre es wesentlich einfacher, ein Umspannwerk mit physischer Gewalt zu zerstören. War der Angriff für die Zeit vor dem Krieg geplant und hatten es die Angreifer:innen nicht rechtzeitig geschafft? Oder sollte er die physischen Kampfhandlungen unterstützen, indem er Verwirrung stiftet und Millionen Menschen im Dunkeln sitzen lässt? Jedenfalls scheinen sich die russischen Angreifer:innen auf eine längere Präsenz in ukrainischen Systemen vorbereitet zu haben. Sowohl nach dem Angriff auf das Stromnetz 2016 als auch nach der Attacke 2017 entdeckte Yasinskyi bei einer genaueren Analyse, dass die Angreifer:innen Hintertüren in die ukrainischen Systeme eingebaut hatten, mit dem Ziel, dort zu verharren und Zugriff für spätere Angriffe zu behalten. Solche „Sleeper Agents“, wie Yasinskyi sie nennt, hat er schon öfter gesehen. Die Strategie der Angreifer:innen sei in der Regel erfolgreich. „Die Wahrheit ist: Du bekommst einen Angreifer in deinem System nicht wieder los.“ Infrastruktur als Zielscheibe – auch im Westen Viele hatten davor gewarnt, dass der russische Geheimdienst aus Rache für Sanktionen westliche Infrastrukturen angreifen würde. Auch das ist bisher ausgeblieben, die Gefahr wird allerdings nach wie vor als hoch eingeschätzt. Und Russland hat in der Vergangenheit gezeigt, dass es durchaus in der Lage ist, hochkomplexe und gefährliche Angriffe auf kritische Infrastrukturen zu starten. So legten Angreifer:innen unter anderem im Sommer 2017 die Sicherheitssysteme einer petrochemischen Anlage in Saudi-Arabien lahm. Offenbar mit dem Ziel, einen sicherheitsrelevanten Vorfall zu erzeugen, bei dem beispielsweise unbemerkt giftige Gase hätten austreten können. Die wären für die Menschen in der Umgebung lebensgefährlich und könnten zu einer Explosion führen. „Das war das erste Mal, das mit einer automatischen Schadsoftware bewusst Menschenleben in Gefahr gebracht wurden“, sagt Marina Krotofil. Das US-Sicherheitsunternehmen Dragos bezeichnet die Gruppe hinter dem Angriff als die „mit Abstand gefährlichste öffentlich bekannte Bedrohung“ und will beobachtet haben, wie sie neue Ziele in den USA und Europa ausspioniert. Auch Krotofil sieht immer wieder Spuren der Gruppe bei Analysen in den Netzwerken kritischer Infrastrukturen, auch in Europa. Sie zeigt sich darüber aber weniger alarmiert als Dragos: „Das ist völlig normal, alle Angreifer scannen das Internet immerzu.“ Jedes Unternehmen sehe diese Versuche auf den internetseitigen Servern. Das sage aber nichts darüber aus, welche Anlagen Hacker:innen tatsächlich angreifen würden oder wo sie bereits weitergekommen seien: „Das heißt nicht, dass sie es schaffen, tatsächlich die Kontrollsysteme zu erreichen“, sagt Krotofil, „denn das ist ein sehr langer, sehr aufwendiger Weg ohne Garantie auf Erfolg“. Wer es wirklich versuche und entsprechende Mittel und Kapazitäten habe, könne es aber schaffen. Sie sieht den Angriff in Saudi-Arabien und die weiteren Aktivitäten der Gruppe daher als ein besorgniserregendes Zeichen. Das sei eine bewusste und weitreichende Entscheidung Russlands, in den Cyberkrieg zu investieren. Dass die Angreifer auf der Suche nach neuen Zielen sind, heiße zwar nicht, dass der nächste lebensgefährliche Angriff bereits vor der Tür stehe – „aber sie bauen sich damit ein dauerhaftes Fundament für künftige Zwecke.“ Der jüngst vereitelte Angriff auf ein Elektrizitätswerk mit ausgefeilter Schadsoftware passt ins Bild des hybriden Kriegs. „Der Cyberraum ist ein Nebenschauplatz, da es keinen reinen Cyberkrieg gibt. Aber es wird als Unterstützung im Hybrid Warfare genutzt“, erklärt Manuel Atug, Sprecher der unabhängigen Arbeitsgruppe Kritische Infrastrukturen. Hybrid bedeutet in diesem Fall, beide Welten für Angriffe zu nutzen – die digitale ebenso wie die analoge Welt. Dabei spielen digitale Angriffe besonders im Vorfeld eines Krieges eine wichtige Rolle, betont Atug: „Der Zweck hybrider Kriegsführung ist es, im Vorfeld eines militärischen Eindringens aufzuklären, aber auch die Kommunikation mit digitalen Attacken lahmzulegen oder den Energiesektor anzugreifen, damit der Gegner schon vor dem Einmarsch geschwächt ist.“ Solche Angriffe benötigen einen langen Vorlauf und der finde vor allem in Friedenszeiten statt: „Cyberspionage – auch Aufklärung genannt – wird daher kontinuierlich vorgenommen.“ Er geht davon aus, dass sich staatliche Akteure wie Geheimdienste und Militärs verschiedener Länder auch in den kritischen Infrastrukturen Europas bewegen und diese ausspionieren. Sie dort zu finden, ist nicht einfach: „Staatliche Akteure haben das Ziel, lange unentdeckt zu bleiben und spionieren zu können“, erklärt er. Allerdings dürfe man den Cyberkrieg nicht unterschätzen, nur weil er gerade unsichtbar sei, warnten die Cyberanalysten der Nato, David Cattler and Daniel Black, im April. Im Hintergrund spiele sich mehr ab, als sich viele vorstellen könnten. Immer mal wieder blitzten die Spitzen dieser Aktivitäten kurz auf. Beispielsweise als im Februar ein Satellitennetzwerk ausfiel, das auch die Fernwartung deutscher Windkraftanlagen unterbrach. Oder eben beim misslungenen Angriff auf die ukrainische Stromversorgung. „Der Cyberraum ist ein Nebenschauplatz, da es keinen reinen Cyberkrieg gibt.“ Und auch die Aktionen von Hacktivist:innen wie beispielsweise Anonymous, die in der Hacking-Community umstritten sind, werden womöglich unterschätzt. Vielleicht auch, weil sich Anonymous etwas aus der Öffentlichkeit zurückgezogen hat. Verschiedene Akteure hatten ihnen vorgeworfen, in einen Krieg einzugreifen, ohne sich die möglichen Folgen bewusst zu machen. Für die einzelnen Aktivist:innen können Racheangriffe gefährliche Folgen haben, warnt auch Atug. So könnte beispielsweise der russische Geheimdienst Angreifer:innen ermitteln und in entsprechenden Datenbanken sammeln, was diese womöglich erst Monate oder gar Jahre später zu spüren bekommen. Viele lassen sich davon nicht abschrecken. Auf der Plattform DDoSecrets, auf der geleakte Daten veröffentlicht werden, tauchen täglich neue Daten aus russischen Behörden und Unternehmen auf, insgesamt mehrere Terabyte. „Die Menge hat uns viele schlaflose Nächte bereitet“, sagte Emma Best, Mitgründerin von DDoSecrets im April gegenüber The Intercept. Seit dem Einmarsch der russischen Truppen habe die Plattform mehr als sechs Millionen russischer Dokumente veröffentlicht. Was das bedeute, werde von vielen unterschätzt, schreibt Intercept-Autor Micah Lee: „Zum ersten Mal in der Geschichte des Internets ist Russland Freiwild für Cyberangriffe.“ Russland verliere einen Krieg gegen Hacker:innen, die riesige Mengen an Daten stehlen. Es werde Monate oder Jahre dauern, diese Daten zu sichten – und es sei unvorstellbar, wie sehr das Russland schaden wird.