Seite 3: 2,5 Millionen Bots könnten reichen

Inhaltsverzeichnis

Wie viele Bots für einen erfolgreichen Angriff erforderlich sind, hängt von der Zusammensetzung des Botnetzes und den Sicherheitsreserven der Stromnetze ab. Simulationen der Studienautoren, Adrian Dabrowski und Johanna Ullrich, haben ergeben, dass zwischen 2,5 Millionen und 9,8 Millionen Bots ausreichen würden. Da bereits Botnetze im zweistelligen Millionenbereich gesichtet wurden, ist das kein unrealistisches Szenario.

Die Inspiration zu der Studie hat Mitautor Dabrowski aus einer Meldung des heise Newstickers über einen Schaltsekunden-Bug im Linux-Kernel: "Der Bug hat damals den Stromverbrauch in Rechenzentren sprunghaft ansteigen lassen", schilderte der IT-Sicherheitsforscher heise online, "Da habe ich mich gefragt, ob man so etwas gezielt ausnutzen kann."

Abwehr ist teuer

Klassische Kraftwerksturbinen sind dank ihrer Schwungmasse träge, was einen gewissen Schutzeffekt gegen solche Angriffe mit sich bringt. Mit zunehmender Verbreitung von Solar- und Windkraft geht dieser Schutz aber verloren, so dass die Stromversorgung anfälliger wird.

"Grundsätzlich kann man mit Schwungrädern oder großen Akkus helfen, solche Attacken zu erschweren", sagte Elektrotechnik-Ingenieurin Ullrich, "Aber es müsste erst erforscht werden, welcher Aufwand dafür in der Praxis notwendig wäre." Ein weiterer Ansatz seien "smarte" Stromnetze, die von sich aus vernetzte Verbraucher steuern können – das Gegenstück zum Botnetz also.

Diese smarten Netze gibt es im Unterschied zu Botnetzen aber noch nicht. Außerdem wäre ihr Effekt im konkreten Szenario beschränkt. Während Akku-Ladegeräte oder Wasserboiler durchaus in sehr kurzen Intervallen ein- und ausgeschaltet werden könnten, wäre das bei Waschmaschinen oder Kühlgeräten nicht praktikabel. Und Dabrowski warnt vor einer neuen Gefahrenquelle: "Erlangt ein Angreifer die Kontrolle über ein solches smartes Stromnetz, wird der Bock zum Gärtner."

• Das Paper heißt "Grid Shock: Coordinated Load-Change Attacks on Power Grids" und wurde Anfang Dezember auf der Annual Computer Security Applications Conference (ACSAC 2017) auf Puerto Rico vorgestellt.

(ds)