Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.683.960 Produkten

Dennis Schirrmacher 353

Horus Scenario: Sicherheitsforscher skizziert Blackout in Europa aufgrund angreifbarer Solarstromanlagen

Horus Scenario: Sicherheitsforscher skizziert Blackout in Europa aufgrund angreifbarer Solarstromanlagen

Bild: horusscenario.com

Diverse Solarstromanlagen sollen kritische Sicherheitslücken aufweisen. Eine Attacke könnte einen kontinentalen totalen Stromausfall auslösen, warnt ein Sicherheitsforscher. Diese Gefahr sieht ein betroffener Hersteller nicht.

Ökostrom-Tarifvergleich Anzeige

Der Sicherheitsforscher Willem Westerhof zeichnet ein desaströses Bild und prophezeit einen möglichen von Hackern ausgelösten Blackout, zum Beispiel in Europa. Hacker könnten Sicherheitslücken in Solarstromanlagen ausnutzen und so ganze Stromnetze lahmlegen, warnt Westerhof. Das Ganze präsentiert er unter dem Namen Horus Scenario auf einer eigens dafür erstellten Webseite. Horus ist der ägyptische Himmelsgott.

Anzeige

Der betroffene deutsche, weltweit umsatzstärkste Hersteller SMA Solar Technology bestätigte gegenüber heise Security Sicherheitslücken in einigen Modellen. SMA spielte im gleichen Atemzug aber die Folgen möglicher Angriffe herunter. Einige Aussagen des Sicherheitsforschers sind SMA zufolge nicht korrekt. Zudem sollen Tatsachen verzerrt dargestellt sein.

Westerhof nennt insgesamt 21 Sicherheitslücken in diversen Solarstromanlagen. Er gibt an, dass mitunter kritische Lücken mit einem CVSS 3.0 Score 9.0 von 10 darunter sind. In seinem Beitrag nennt er keine Details zu den Lücken und konkreten Angriffsszenarien. Westerhof erläutert, dass er die Lücken in einem Testaufbau mit Solarstromanlagen von SMA gefunden hat.

14 Lücken sind CVE-Nummern inklusive einer Kurzbeschreibung zugeteilt. Daraus geht hervor, dass Angreifer etwa Anlagen via DoS-Attacke lahmlegen könnten. Außerdem ist der Umgang mit Passwörtern nicht optimal gelöst: Einige Anlagen werden offenbar mit Standard-Passwörtern ausgeliefert. Andere sollen sich zum Teil im Klartext mitschneiden lassen. Zudem sollen in einigen Szenarien schwache Hash-Verfahren Passwörter schützen, die sich so leicht knacken lassen.

Von der direkten Ausführung von Schadcode ist in den Beschreibungen nicht die Rede. Doch Angreifer sollen ohne Authentifizierung eine manipulierte Firmware auf Wechselrichtern installieren und diese so komplett übernehmen können. Ob diese Attacke über das Internet möglich ist, geht aus der Beschreibung der CVE-Nummer nicht hervor.

SMA weiß seit Ende 2016 Bescheid, erklärt Westerhof. Anfang 2017 informierte er Verantwortliche im Energie-Sektor und der Politik. Alle Beteiligten sollen sich ihm zufolge sehr kooperativ verhalten haben und unter anderem miteinander an Lösungen arbeiten.

SMA versicherte gegenüber heise Security, dass Sicherheitspatches in der Mache sind. Konkret sind die Modelle Sunny Boy TLST-21 und TL21, sowie Sunny Tripower TL-10 und TL-30 betroffen. Das Angriffsszenario zum Lahmlegen von Solarstromanlagen stuft SMA als "hoch komplex" ein und nur ein Hacker mit "erheblicher Erfahrung" soll einen erfolgreichen Übergriff einleiten können.

Insgesamt sieht SMA keine Gefahren für das öffentliche Stromnetz, da die von betroffenen Geräten zur Verfügung gestellte Leistung nur einen Bruchteil ausmacht. Selbst bei zeitgleichen Attacken halten sie einen Blackout für unwahrscheinlich. (des)

353 Kommentare

Themen:

Anzeige
  1. Jetzt patchen: Kritische Lücken in Dell EMC Data Protection Suite

    PC-Hersteller Dell

    Einige Dell-EMC-Produkte sind anfällig für Angriffe, die im schlimmsten Fall die vollständige Systemkompromittierung ermöglichen. Patches stehen bereit.

  2. BlueBorne: Bluetooth-Schwachstellen auch in Amazon Echo und Google Home

    BlueBorne: Bluetooth-Schwachstellen auch in Amazon Echo und Google Home

    Wie Millionen anderer Geräte sind auch Amazons und Googles digitale Assistenten via Bluetooth angreifbar: Die BlueBorne-Schwachstellensammlung ermöglicht mitunter die komplette Systemübernahme. Zum Glück gibt es Einschränkungen – und Updates.

  3. Sicherheitsupdate: Google veröffentlicht Chrome 63.0.3239.108

    Google Chrome

    Ein aktuelles Sicherheitsupdate für Chrome schließt eine Cross-Site-Scripting-Schwachstelle. Es erfolgt wie gewohnt automatisch.

  4. Zwei Jahre alte Sicherheitslücken in Tomografen von Siemens

    ICS-CERT warnt vor Lücken in Kernspintomografen von Siemens

    Die für die Sicherheit von Industrieanlagen zuständige US-Behörde ICS-CERT weist auf gravierende Sicherheitslücken hin, die die Sicherheit von Siemens' medizinischen Diagnosegräten zur Tomographie gefährden.

  1. Tipps zur Intel-ME-Sicherheitslücke SA-00075

    PC mit Intel-Netzwerkchip

    Am 1. Mai hat Intel eine Sicherheitslücke in der ME-Firmware vieler Desktop-PCs, Notebooks und Server gemeldet: Was Sie jetzt tun sollten.

  2. Die Neuerungen von Linux 4.13

    Linux-Kernel 4.13

    Der neue Kernel kann die Schwerarbeit bei der HTTPS-Verschlüsselung übernehmen. Statt einer "inakkuraten" Taktfrequenzangabe findet sich in /proc/cpuinfo jetzt nur noch der Basistakt des Prozessors. Außerdem sind jetzt Treiber für neue Grafikkerne von AMD und Intel dabei.

  3. Weltweiter Erpressungstrojaner-Angriff auf Computernetzwerke

    "WannaCry": Das Bundeskriminalamt (BKA) hat die strafrechtlichen Ermittlungen übernommen. Global sollen 99 Länder betroffen sein

  1. Fahrbericht: Ford Expedition 2018

    Ford Expedition

    In den USA herrschen, was die richtige Fahrzeuggröße angeht, vielfach andere Vorstellungen als in Europa. Ein Ausflug mit dem für europäische Verhältnisse riesigen, auf dem US-Markt recht populären Ford Expedition 2018 zeigt dies eindrücklich

  2. Age of Empires Definitive Edition erscheint am 20. Februar exklusiv für Windows 10

    Age of Empires Definitive Edition erscheint am 20. Februar im Windows Store

    Nach einer kurzfristigen Verschiebung erscheint die für 4K angepasste Age of Empires Definitive Edition am 20. Februar. Sie enthält auch die Erweiterung Rise of Rome, läuft aber nur unter Windows 10.

  3. Norwegens Erdöl: Der Anfang vom Ende einer Ära

    Beim größten Ölförderer Westeuropas stehen mittelfristig umwälzende Veränderungen ins Haus. Die Bevölkerung ist sich uneins über ihr Verhältnis zum schwarzen Gold, gleichzeitig wachsen die geopolitischen Spannungen in der Arktis

  4. Bitcoin: US-Behörde SEC bremst, Starökonom Shiller warnt vor Crash

    US-Behörde SEC bremst Bitcoin-Fonds – Starökonom Shiller warnt vor Crash

    Mehrere Anbieter wollen Fonds auf Bitcoin und andere Kryptowährungen auflegen – doch die US-Börsenaufsicht SEC sieht da noch viele ungeklärte Fragen. Derweil warnt der US-Starökonom Robert Shiller vor einem Bitcoinkollaps.

Anzeige