Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Dennis Schirrmacher 353

Horus Scenario: Sicherheitsforscher skizziert Blackout in Europa aufgrund angreifbarer Solarstromanlagen

Horus Scenario: Sicherheitsforscher skizziert Blackout in Europa aufgrund angreifbarer Solarstromanlagen

Bild: horusscenario.com

Diverse Solarstromanlagen sollen kritische Sicherheitslücken aufweisen. Eine Attacke könnte einen kontinentalen totalen Stromausfall auslösen, warnt ein Sicherheitsforscher. Diese Gefahr sieht ein betroffener Hersteller nicht.

Ökostrom-Tarifvergleich Anzeige

Der Sicherheitsforscher Willem Westerhof zeichnet ein desaströses Bild und prophezeit einen möglichen von Hackern ausgelösten Blackout, zum Beispiel in Europa. Hacker könnten Sicherheitslücken in Solarstromanlagen ausnutzen und so ganze Stromnetze lahmlegen, warnt Westerhof. Das Ganze präsentiert er unter dem Namen Horus Scenario auf einer eigens dafür erstellten Webseite. Horus ist der ägyptische Himmelsgott.

Der betroffene deutsche, weltweit umsatzstärkste Hersteller SMA Solar Technology bestätigte gegenüber heise Security Sicherheitslücken in einigen Modellen. SMA spielte im gleichen Atemzug aber die Folgen möglicher Angriffe herunter. Einige Aussagen des Sicherheitsforschers sind SMA zufolge nicht korrekt. Zudem sollen Tatsachen verzerrt dargestellt sein.

Westerhof nennt insgesamt 21 Sicherheitslücken in diversen Solarstromanlagen. Er gibt an, dass mitunter kritische Lücken mit einem CVSS 3.0 Score 9.0 von 10 darunter sind. In seinem Beitrag nennt er keine Details zu den Lücken und konkreten Angriffsszenarien. Westerhof erläutert, dass er die Lücken in einem Testaufbau mit Solarstromanlagen von SMA gefunden hat.

Anlagen lahmlegen und übernehmen

14 Lücken sind CVE-Nummern inklusive einer Kurzbeschreibung zugeteilt. Daraus geht hervor, dass Angreifer etwa Anlagen via DoS-Attacke lahmlegen könnten. Außerdem ist der Umgang mit Passwörtern nicht optimal gelöst: Einige Anlagen werden offenbar mit Standard-Passwörtern ausgeliefert. Andere sollen sich zum Teil im Klartext mitschneiden lassen. Zudem sollen in einigen Szenarien schwache Hash-Verfahren Passwörter schützen, die sich so leicht knacken lassen.

Von der direkten Ausführung von Schadcode ist in den Beschreibungen nicht die Rede. Doch Angreifer sollen ohne Authentifizierung eine manipulierte Firmware auf Wechselrichtern installieren und diese so komplett übernehmen können. Ob diese Attacke über das Internet möglich ist, geht aus der Beschreibung der CVE-Nummer nicht hervor.

Patches sind auf dem Weg

SMA weiß seit Ende 2016 Bescheid, erklärt Westerhof. Anfang 2017 informierte er Verantwortliche im Energie-Sektor und der Politik. Alle Beteiligten sollen sich ihm zufolge sehr kooperativ verhalten haben und unter anderem miteinander an Lösungen arbeiten.

SMA versicherte gegenüber heise Security, dass Sicherheitspatches in der Mache sind. Konkret sind die Modelle Sunny Boy TLST-21 und TL21, sowie Sunny Tripower TL-10 und TL-30 betroffen. Das Angriffsszenario zum Lahmlegen von Solarstromanlagen stuft SMA als "hoch komplex" ein und nur ein Hacker mit "erheblicher Erfahrung" soll einen erfolgreichen Übergriff einleiten können.

Blackout eher unwahrscheinlich

Insgesamt sieht SMA keine Gefahren für das öffentliche Stromnetz, da die von betroffenen Geräten zur Verfügung gestellte Leistung nur einen Bruchteil ausmacht. Selbst bei zeitgleichen Attacken halten sie einen Blackout für unwahrscheinlich. (des)

353 Kommentare

Themen:

Anzeige
  1. BlueBorne: Bluetooth-Schwachstellen auch in Amazon Echo und Google Home

    BlueBorne: Bluetooth-Schwachstellen auch in Amazon Echo und Google Home

    Wie Millionen anderer Geräte sind auch Amazons und Googles digitale Assistenten via Bluetooth angreifbar: Die BlueBorne-Schwachstellensammlung ermöglicht mitunter die komplette Systemübernahme. Zum Glück gibt es Einschränkungen – und Updates.

  2. Zwei Jahre alte Sicherheitslücken in Tomografen von Siemens

    ICS-CERT warnt vor Lücken in Kernspintomografen von Siemens

    Die für die Sicherheit von Industrieanlagen zuständige US-Behörde ICS-CERT weist auf gravierende Sicherheitslücken hin, die die Sicherheit von Siemens' medizinischen Diagnosegräten zur Tomographie gefährden.

  3. Remote Code Execution: Apache-Tomcat-Entwickler schließen Sicherheitslücke

    Remote Code Execution: Apache-Tomcat-Entwickler schließen Sicherheitslücke

    Eine Lücke in mehreren Apache-Tomcat-Versionen erlaubt Angreifern unter eher selten gegebenen Voraussetzungen die Schadcode-Ausführung aus der Ferne. Updates schaffen Abhilfe.

  4. Google lässt noch eine Microsoft-Lücke vom Stapel

    Google lässt noch eine Microsoft-Lücke vom Stapel

    Oops, they did it again: Erneut hat Google detaillierte Informationen über eine Sicherheitslücke in einem Microsoft-Produkt veröffentlicht, bevor die Lücke geschlossen wurde. Dieses Mal trifft es Internet Explorer und Edge.

  1. Tipps zur Intel-ME-Sicherheitslücke SA-00075

    PC mit Intel-Netzwerkchip

    Am 1. Mai hat Intel eine Sicherheitslücke in der ME-Firmware vieler Desktop-PCs, Notebooks und Server gemeldet: Was Sie jetzt tun sollten.

  2. Die Neuerungen von Linux 4.13

    Linux-Kernel 4.13

    Der neue Kernel kann die Schwerarbeit bei der HTTPS-Verschlüsselung übernehmen. Statt einer "inakkuraten" Taktfrequenzangabe findet sich in /proc/cpuinfo jetzt nur noch der Basistakt des Prozessors. Außerdem sind jetzt Treiber für neue Grafikkerne von AMD und Intel dabei.

  3. Weltweiter Erpressungstrojaner-Angriff auf Computernetzwerke

    "WannaCry": Das Bundeskriminalamt (BKA) hat die strafrechtlichen Ermittlungen übernommen. Global sollen 99 Länder betroffen sein

  1. Kommentar: Firefox ist wieder cool

    Kommentar: Firefox ist wieder cool

    Mit großem Tamtam hat Mozilla Firefox Quantum veröffentlicht. Ein längst überfälliges Update: Endlich kann es der Browser mit seinem ärgsten Rivalen aufnehmen. (Nicht nur) Chrome-Nutzer sollten einen Blick riskieren und Firefox eine (zweite) Chance geben.

  2. Zweibeiniger Roboter Atlas schafft Salto rückwärts

    Mann schmeißt Atlas um

    Eine neue Version des aufrecht gehenden Roboters Atlas zeigt akrobatische Talente: Kisten sind kein Hindernis mehr, und sogar ein Salto aus dem Stand gelingt – meistens jedenfalls.

Anzeige