Auf Ausweichen ausgelegt: Die wachsende Angriffsfläche kritischer Infrastrukturen

• Kritische Infrastrukturen können durch Störungen im Unternehmensnetzwerk beeinträchtigt werden, und aktuelle Fälle im öffentlichen Gesundheitswesen zeigen, wie eine einzige Benutzeraktion im Zusammenhang mit einer schädlichen Datei zu einer Kettenreaktion führen und den Betrieb lahmlegen kann.
• E-Mails gehören nach wie vor zu den am stärksten frequentierten Einfallstoren der Angriffsfläche: ein Kanal, der von seiner Konzeption her sowohl Computer als auch die Menschen, die sie bedienen, in großem Umfang erreicht.
• Air-Gapped-Umgebungen sind nach wie vor auf Inhalte von der vernetzten Seite angewiesen, weshalb eine Überprüfung vor dem Weiterleiten wichtig ist, bevor Dateien in sensiblere Systeme gelangen.
• Innovation ist für die Widerstandsfähigkeit unerlässlich, doch jeder neue Anbieter, jede neue Integration und jeder neue Update-Kanal sollte mit derselben Sorgfalt geplant werden wie der betriebliche Nutzen, den sie ermöglichen.
• Eine auf diese Realität zugeschnittene Sicherheitslösung betrachtet die E-Mail-Sicherheit als eine Säule eines mehrschichtigen, ganzheitlichen Modells, bei dem Risiken geprüft und minimiert werden, bevor der Inhalt einen Leser – sei es einen Menschen oder eine Maschine – erreicht.

Im Bereich der kritischen Infrastruktur wurde Isolierung oft als das ultimative Sicherheitsziel betrachtet: Man segmentiert das Netzwerk, schafft eine physische Trennung zwischen den sensibelsten Systemen und schon ist das Problem eingedämmt. Doch der Geschäftsbetrieb findet außerhalb des isolierten Kerns statt: Terminplanung, Logistik, Abrechnung, Prozessprotokolle, Überwachung. Auch dieser Bereich stellt eine Angriffsfläche dar.

Die Frage ist also nicht nur, was sich hinter dem Luftspalt befindet, sondern auch, was gestört werden kann, bevor etwas diesen erreicht. Für viele Organisationen mit kritischer Infrastruktur – darunter Krankenhäuser, Banken und Verkehrsnetze, die hinter einem Luftspalt nicht voll funktionsfähig wären – ist das Unternehmensnetzwerk ein wesentlicher Bestandteil der IT-Infrastruktur.

Und dieser Bereich verfügt über eine besonders stark frequentierte „Eingangstür“. E-Mail ist eines der am stärksten frequentierten Einfallstore der Angriffsfläche – ein Kanal, den jedes Unternehmen bewusst offen hält, denn auf diesem Weg kommen die Arbeitsaufträge herein: Updates von Anbietern, Dokumente von Auftragnehmern, die Tabellenkalkulation, mit der ein Projekt beginnt. E-Mail birgt eine doppelte Bedrohung: Zum einen erreicht sie Computer mit Dateien und Links, die ausgeführt werden, zum anderen erreicht sie Menschen mit Überzeugungsversuchen, die dazu führen, dass diese Dateien geöffnet werden. Nur wenige Kanäle erreichen beides in ähnlichem Umfang. Die folgenden Fälle sind öffentlich bekannt und zeigen, wie E-Mails, schädliche Dateien oder vertrauenswürdige Benutzeraktionen zum ersten Schritt einer umfassenderen Betriebsstörung werden können.

Die irische Gesundheitsbehörde „Health Service Executive“ ist eines der wenigen Opfer, die sich für vollständige Transparenz entschieden und eine unabhängige Untersuchung in Auftrag gegeben sowie deren Ergebnisse veröffentlicht haben, weshalb der Fall im Detail nachgezeichnet werden kann. Im März 2021 öffnete ein Nutzer eine Phishing-E-Mail, wodurch ein Arbeitsplatzrechner mit Malware infiziert wurde. Die Angreifer agierten anschließend acht Wochen lang innerhalb der Umgebung, bevor sie Ransomware auslösten. In dieser Zeit gelang es ihnen, Server und privilegierte Konten zu kompromittieren, sich lateral zu bewegen und Daten zu exfiltrieren, bevor die Störung auf nationaler Ebene sichtbar wurde. Der Gesundheitsdienst schaltete seine IT-Systeme ab, um die Ausbreitung einzudämmen. Krankenhäuser kehrten zu Stift und Papier zurück, Termine wurden landesweit abgesagt, die Wiederherstellung dauerte mehr als vier Monate, und die Kosten für die Behebung des Schadens wurden im November 2024 auf 102 Millionen Euro geschätzt.

Ein Sicherheitsversagen im E-Mail-Verkehr bleibt selten nur ein E-Mail-Problem; es kann zu Betriebs- und Geschäftsunterbrechungen führen, die zudem finanzielle Folgen nach sich ziehen. Im Jahr 2024 gab Ascension bekannt, dass ein Mitarbeiter eine schädliche Datei heruntergeladen habe, was das Unternehmen als „unverschuldeten Fehler“ bezeichnete. Der Vorfall führte dazu, dass eines der größten US-Krankenhausnetzwerke Rettungswagen umleiten und Behandlungen verschieben musste und später meldete, dass 5.599.699 Personen betroffen waren.

Ein Szenario, das Sicherheitsverantwortliche berücksichtigen sollten, ist das, bei dem zunächst nichts passiert, bei dem sich der Angreifer im Unternehmensnetzwerk einnistet und folgende Informationen ausliest: Netzwerkdiagramme, technische Dokumente, Zugangsdaten, Wartungspläne sowie die Übertragungsabläufe selbst. Und wenn aus dem Lesen Handeln wird, können die Folgen bis in die physische Welt reichen. So soll sich der Angriff auf das ukrainische Stromnetz im Jahr 2015 zugetragen haben: Öffentliche Berichte und technische Analysen beschreiben eine vorherige Kompromittierung von Unternehmensnetzwerken durch Spear-Phishing-E-Mails, die die Malware „BlackEnergy“ enthielten, gefolgt von Aufklärung, dem Diebstahl von Zugangsdaten und einer koordinierten Störung von Umspannwerken. Von dem Vorfall waren rund 225.000 Kunden betroffen. Eine vertrauenswürdige Nachricht, eine Routinehandlung, vielfältige betriebliche Folgen.

Kritische Infrastrukturen werden innovativ, weil sie dazu gezwungen sind. Die Bedrohungslage spitzt sich zu, die Erwartungen an die Verfügbarkeit steigen, und die Ausfallsicherheit hängt zunehmend von intelligenteren, stärker vernetzten Systemen ab. Ein Umspannwerk, das zwanzig Jahre lang nach derselben Logik betrieben wurde, übermittelt nun möglicherweise Daten an Cloud-Analysesysteme, eine Pumpe, die früher einmal pro Schicht manuell überprüft wurde, sendet nun möglicherweise Telemetriedaten an einen Anbieter, und Wartungsarbeiten, die bisher erst nach einem Ausfall durchgeführt wurden, werden nun möglicherweise durch KI- und maschinell lernbasierte Vorhersagen gesteuert. Diese Verbesserungen sind keine optionalen Ablenkungen; sie sind die Voraussetzung dafür, dass kritische Infrastrukturen mit der Entwicklung Schritt halten können. Das Potenzial ist enorm – vorausgesetzt, das Sicherheitsmodell entwickelt sich gemeinsam mit der umgebenden Technologie weiter.

Jede Welle dieser Innovation bringt Veränderungen mit sich: neuen Code, neue Integrationen, neue Anbieter, Update-Kanäle und neue Fernzugriffspfade. Mit einem gründlichen Plan lassen sich diese Veränderungen bewältigen. Sicherheitsverantwortliche können festlegen, wie Daten fließen, wie Anbieter eingebunden werden, wie Updates validiert werden und wo Inhalte überprüft werden, bevor sie in sensible Arbeitsabläufe gelangen. Das Risiko liegt nicht in der Innovation selbst, sondern in ungeplantem Vertrauen. Jeder neue Anbieter und Auftragnehmer kann eine neue E-Mail-Beziehung begründen – mit Anhängen, Rechnungen und Update-Benachrichtigungen, von denen erwartet wird, dass die Nutzer sie öffnen. Die Angriffsfläche vergrößert sich, ebenso wie die Anzahl der Einstiegspunkte, über die etwas Unzuverlässiges unter dem Deckmantel der Legitimität eindringen kann.

Was passiert also, wenn die Modernisierung schneller voranschreitet als die darauf abgestimmten Abwehrmaßnahmen? Das ist der sich verstärkende Effekt: Selbst wenn die Fähigkeiten der Angreifer heute auf dem aktuellen Stand einfrieren würden, könnte die Anfälligkeit dennoch zunehmen, da die Umgebung ständig neue Verbindungspunkte hinzugewinnt. KI und maschinelles Lernen können die operative Widerstandsfähigkeit auf der defensiven Seite verbessern, doch auch bei den Fähigkeiten der Angreifer gibt es kaum Anzeichen für eine Verlangsamung. KI kann auf der offensiven Seite die Forschung, die Zielauswahl und die Iteration beschleunigen, wodurch geplante, adaptive Sicherheit zu einem Teil verantwortungsvoller Innovation wird und nicht länger ein Hindernis dafür darstellt.

Nur wenige Betreiber können genau vorhersagen, wie ihre eigene Umgebung in fünf Jahren aussehen wird, sodass die heutige Sicherheitsarchitektur möglicherweise bereits die Topologie von gestern schützt. Das Ziel besteht nicht darin, Innovationen zu bremsen, sondern sicherzustellen, dass sich die Sicherheit parallel dazu weiterentwickelt. Isolierung spielt nach wie vor eine Rolle, ist jedoch eher eine Ebene in einem umfassenderen Resilienzmodell als die alleinige Lösung.

Sicherheitsverantwortliche beurteilen eine Bedrohung häufig anhand von drei Fragen: Verfügt der Angreifer über die Absicht, die Fähigkeit und die Gelegenheit? Für viele kritische Infrastrukturen lautet die Antwort auf alle drei Fragen zunehmend „Ja“.

• Absicht: Kritische Infrastruktur wird gezielt von Angreifern ins Visier genommen, die ihre Opfer im Vorfeld recherchieren, und dürfte auch weiterhin attraktiv bleiben, da der potenzielle Gewinn den Aufwand rechtfertigt.
• Fähigkeit: Angriffe werden zunehmend industrialisiert, wobei KI die Kosten für die Erstellung, das Testen und den Wechsel von Kampagnen senkt.
• Chance: Die Angriffsfläche verändert sich, da durch Innovationen Systeme miteinander verbunden werden, die früher eigenständig waren, und Inhalte weiterhin die verbleibenden Grenzen überschreiten.

Hinter all diesen drei Aspekten verbergen sich dieselben beiden Konstanten: Die Menschen werden weiterhin auf E-Mails zurückgreifen, da diese für den reibungslosen Geschäftsbetrieb unverzichtbar sind, und Inhalte werden auch weiterhin viele der von uns gezogenen Grenzen überschreiten, denn so funktioniert das Geschäftsleben nun einmal.

Eine auf diese Realität zugeschnittene Abwehrstrategie hat eine erkennbare Struktur. Sie betrachtet die E-Mail-Sicherheit als eines der am stärksten frequentierten Tore im Perimeter und stellt entsprechend Ressourcen bereit – als eine Säule eines ganzheitlichen Modells. An diesem Zugangspunkt werden mehrere Kontrollebenen eingerichtet, von denen jede eine andere Aufgabe erfüllt, sodass Inhalte geprüft und Risiken minimiert werden, bevor ein Leser – sei es Mensch oder Maschine – damit in Berührung kommt. Sie nutzt KI-gestützte Analysen innerhalb des Betriebszyklus für eine schnellere Korrelation, schnellere Einstufung und schnelleres Lernen aus blockierten Angriffsversuchen, um so besser mit dem Tempo der Angreifer Schritt zu halten. Und sie betrachtet kontinuierliche Verbesserung als Teil einer verantwortungsvollen Modernisierung, da sich die Bedrohungslage ständig verändert.

Die Frage, die Sie sich in Ihrem eigenen Umfeld stellen sollten, ist einfach: Wenn Inhalte in die Systeme gelangen, deren Ausfall Sie sich am wenigsten leisten können – wo werden sie dann zum letzten Mal wirklich überprüft, und würde diese Überprüfung Inhalte erkennen, die so gestaltet sind, dass sie sicher und vertrauenswürdig erscheinen? Für viele Unternehmen endet die Rückverfolgung dieser Inhalte bis zu ihrem ursprünglichen Ursprung oft am selben Ort: im Posteingang.