Umspannwerk

Umspannwerke sind ein Ziel, weil die Protokolle ihrer Stationsleittechnik kaum abgesichert sind. Der Standard IEC 61850 basiert auf TCP/IP und ist laut Rhebo genauso unsicher wie GOOSE, MMS, SV und IEC-104, die er verbindet. Da er bei Modernisierung und Neubau immer häufiger eingesetzt wird, werden auch neue Umspannwerke zum Ziel. Die Malware Industroyer, die 2016 beim ukrainischen Versorger Ukrenergo einen mehrstündigen Stromausfall verursachte, enthielt bereits Funktionen für diese Protokolle.

Ein Angriffserkennungssystem überwacht die Kommunikation der Leittechnik im Umspannwerk passiv und meldet in Echtzeit alle Anomalien, die auf Cyberangriffe, Manipulationen, Scans oder technische Störungen hinweisen. Anders als eine Firewall erkennt es auch Angriffe mit gestohlenen Zugangsdaten und bisher unbekannten Mustern. Das BSI empfiehlt deshalb einen Defense-in-Depth-Ansatz aus signaturbasierter Perimetersicherung und verhaltensbasiertem Netzwerkmonitoring, wie ihn Rhebo Industrial Protector umsetzt.

Das IT-Sicherheitsgesetz verlangt von allen Betreibern Kritischer Infrastrukturen ein durchgängiges System zur Angriffserkennung, das neben der Unternehmens-IT auch die OT schützt. Für Stationen und Anlagen in Stromnetzen sehen KRITIS-Verordnung und IT-Sicherheitsgesetz einen besonderen Schutz vor. Die MEGA in Monheim am Rhein stellt mit integrierter Angriffserkennung und Vorfalldokumentation die Rechtskonformität nach NIS2 sicher und verbessert damit ihr ISMS nach ISO 27001 kontinuierlich.

OT-Monitoring arbeitet passiv und wird nach einer Risikoanalyse in die bestehende Netzleittechnik eingebunden. Die MEGA wollte eine Lösung, die einfach integrierbar und unabhängig vom Hersteller der Netzleittechnik ist. Rhebo bewertete zuerst Schwachstellen und Risiken und integrierte dann das Angriffserkennungssystem in die operative und die redundante Netzleit- und Fernwirktechnik. Seitdem sieht das Team auch, wie stark die Leittechnik zu bestimmten Zeiten ausgelastet ist und wo Kapazitätsengpässe bestehen.