Smart Metering

Smart Metering beschreibt den Vorgang der computergestützten Übertragung von Daten von intelligenten Stromzählern, die damit einhergehenden Steuerungsprozesse und die Summe der für diese Vorgänge notwendigen IT-Systeme.

Als intelligente Stromzähler werden Geräte bezeichnet, welche neben der reinen Stromzählung auch detaillierte Verbrauchsdaten sammeln, Prozessdaten senden und empfangen und bei Bedarf auch die Stromzufuhr zu einem Verbraucher basierend auf einen erhaltenen Steuerungsbefehl unterbrechen können.

Die Stromrichtlinie im 3. EU-Binnenmarktpaket besagt, dass bis spätestens 2020 80% aller EU-Haushalte mit intelligenten Stromzählern ausgestattet sein müssen.

Ausgangslage

Die Einführung von Smart Metering bringt für Volkswirtschaften, Energieversorger und Verbraucher eine Fülle an neuen, bislang nicht vorhandenen Risikopotentialen mit sich: Smart Metering besteht aus komplexen IT-Systemen, die auf unterschiedlichen Ebenen mit unterschiedlichen Protokollen kommunizieren. Intelligente Stromzähler repräsentieren die unterste Strukturebene dieser Netze, stellen aber die größte Anzahl an Geräten, die noch dazu in unkontrollierbaren Umgebungen (Privathaushalten, Gewerbeeinrichtungen, u. ä.) betrieben werden. Intelligente Stromzähler sind kleine Computersysteme und als solche sind diese potentiellen Attacken ausgesetzt. Angreifer könnten dabei einzelne intelligente Zähler manipulieren, einzelne Verbraucher vom Stromnetz trennen, oder aber im schlimmsten Fall großflächige Ausfälle der Energieversorgungsnetze provozieren. Die Folgen dieser Ausfälle werden als katastrophal eingeschätzt und entsprechend groß ist die Sorge bei Energieversorgern, Startpunkt für entsprechende Angriffe zu sein und folglich für die Auswirkungen entsprechender Angriffe zur Verantwortung gezogen zu werden.

Besonders schützenswerte Datenströme und Daten

Im Mittelpunkt der Betrachtungen steht hier der Smart Meter Einsatz speziell im Privathaushalt, da dieser Bereich in einem Smart Grid (einem intelligenten Stromnetz) die physisch am weitesten verteilten und am schwersten kontrollierbaren Komponenten darstellt.

IT-sicherheitsrelevante Anwendungsfälle in diesem Bereich umfassen u.a. die Messwerterfassung und -übertragung für verbrauchte Energie und der Zugriff des Endkunden auf diese Daten über ein Web-Portal des Energieversorgungsunternehmens; Fernzugriffe durch Energieversorger oder Betreiber von Messstellen zur Wartung, Updates, Patches aber auch zur An- und Abschaltung der Energiezufuhr; die Erkennung von Ausfällen des Stromflusses oder der Kommunikationstechnik; eine Informationsbereitstellung über den Verbrauch und ggfs. eine flexibilisierte Tarifierung an den Privathaushalt sowie eine ggfs. feingranulare Informationsbereitstellung zur Verknüpfung mit Preisinformationen und zu Abrechnungszwecken an den Energieversorger.

Darüber hinaus werden ggfs. Daten wie Steuerungs- / Regelungsdaten, Zuordnungsdaten / IDs / Zählernummern, Rechnungsdaten / Kontoverbindungen, Wartungsdaten und Statusdaten z. B zu Speicherkapazitäten oder auch Warnmeldungen bei Ausfällen bei den involvierten Parteien gespeichert oder zwischen ihnen ausgetauscht.

Die involvierten Parteien umfassen nicht nur Privathaushalt und Energieversorger. Vielmehr besteht ein Beziehungsgeflecht von verschiedenen Rollen. Beteiligt sind u. a. auch Betreiber von Kommunikationsnetzen sowie von Verteilnetzen, Hersteller von Smart Meter Geräten, Betreiber von Messstellen und Messdienstleister.

Im Mittelpunkt der Sicherheitsanforderungen stehen die Vertraulichkeit und der Datenschutz für personenbezogene / auf den Privathaushalt bezogene Daten in Bezug auf den Zugriff durch Dritte sowie unautorisierte Personen bei Energieversorgern und deren nachgelagerten Dienstleistern. Daneben müssen zu jeder Zeit Datenauthentizität, -integrität und -aktualität aller verarbeiteten und gespeicherten Daten gesichert sein. Dazu kommen Integritätsanforderungen an die IT-Systeme inkl. Smart Meter. Schlussendlich haben diese Sicherheitsanforderungen Auswirkungen auf die Versorgungssicherheit nicht nur von einzelnen Privathaushalten sondern ganzen Verbrauchergruppen.

Risiko-Szenarien in Smart Metering Umgebungen

Die hohe Komplexität der eingesetzten IT-Systeme und das Beziehungsgeflecht der involvierten Parteien, welches einen multidimensionalen Informationsaustausch zwischen diesen ermöglicht, bildet die Grundlage für neue Risikopotentiale, die bislang im Energieversorgungsbereich, einer Branche, die tendenziell Stabilität und Versorgungssicherheit als oberstes Gebot des Handelns betrachtet, nicht vorhanden waren. Je komplexer das Zusammenspiel verschiedener Akteure, je komplexer die Struktur der IT-Systeme und je mehr Funktionalität und unmittelbare Steuerungsmöglichkeiten geboten werden, desto mehr potentielle Einfallstore existieren für Angreifer.

Die Bedrohungsarten sind vielfältig. Sie reichen von Angriffen mit finanziellen oder Sabotage-Motiven über Malware, Zero Day Attacken, Botnets, Denial of Service, Distributed Denial of Service bis hin zu komplexen Advanced Persistent Threats, die zielgerichtet eingesetzt werden könnten, um PC-Arbeitsplätze von Steuerungspersonal der Smart Metering Umgebungen zu übernehmen.

Dazu einige Beispiele:

Risiko-Szenario 1

Das aus dem Internet erreichbare Web-Portal eines Energieversorgungsunternehmens dient den Kunden mit Smart Metern als zentrale Stelle zum Abrufen aktueller Verbrauchsdaten und – für manche Kunden mit Vorauszahlungsvertrag – zur Abwicklung von Zahlungen. Über das Kundenportal können nach erfolgreichem Login personenbezogene Daten und aktuelle sowie historische Verbrauchsdaten eingesehen werden.

Ein Angreifer könnte eine Sicherheitslücke des Web-Portals ausnützen und unter Umgehung sämtlicher Authentifizierungsmethoden administrativen Zugriff auf die dahinter liegende Datenbank erhalten. Kundendaten inkl. Zahlungsinformationen, Adressen sowie Verbrauchsdaten aus dem Smart Meter können entwendet werden.

Risiko-Szenario 2

Zentrale IT-Systeme in der Kerninfrastruktur des Energieversorgungsunternehmens sorgen für die Verwaltung und Steuerung der Smart Meter Systeme. Von diesen speziellen Steuerungssystemen werden auch Abschaltbefehle an Smart Meter gesandt.

Ein Angreifer könnte Zugriff auf diese zentralen IT-Systeme erhalten und großflächige Abschaltvorgänge initiieren,
die zu einer Destabilisierung der Stromversorgung führen könnten.

Risiko-Szenario 3

Sämtliche Ebenen der Smart Metering Infrastruktur, vom eigentlichen Smart Meter, bis zum Kunden-Web-Portal, sind über unterschiedlichste Kommunikationsebenen miteinander verbunden. Auf unterster Ebene, zwischen Smart Metern und den darüber liegenden Steuerungssystemen, sogenannten „Konzentratoren“, wird über spezielle Protokolle kommuniziert, auf den Ebenen darüber bereits mit Ethernet Datenverbindungen.

Ein Angreifer könnte versuchen, durch einen manipulierten Smart Meter bzw. unter Zuhilfenahme dessen Verbindungsweges, Zugriff auf andere Smart Meter in seiner unmittelbaren Umgebung, den darüber liegenden Konzentratoren oder anderen nachgelagerten Steuerungs- oder Verwaltungssystemen zu erlangen. Über diesen Angriffsweg könnte eine Destabilisierung von Smart Metern oder anderer erreichbarer IT-Systeme erzielt werden. Des Weiteren könnte es möglich sein, Steuerbefehle an Smart Meter zu kopieren und gegebenenfalls in schädigender Absicht erneut zu verwenden.

Risiko-Szenario 4

Administrative PC-Arbeitsplätze des Personals für die Verwaltung der Smart Metering Kernsysteme verfügen tendenziell über Internet Zugang. Aktuell werden täglich neue Sicherheitslücken bekannt, die eine Verseuchung eines Arbeitsplatzes bei Besuch einer vollkommen neutral scheinenden Internet Seite ermöglichen, ohne dass Anwender oder die vorhandenen Schutz-Systeme wie beispielsweise Firewalls oder Anti-Virus die Gefahr entdecken bzw. beseitigen könnten.

Auf diesem Wege könnten zentrale Administrations-PCs mit Schadsoftware verseucht werden, welche dazu dienen könnte, Passwörter für den Zugriff auf Kern-System der Smart Metering Umgebung zu erlangen. Nach Erhalt dieser Daten könnten Angreifer ungehindert und mit weitreichenden Berechtigungen ausgestattet, Veränderungen an den Steuerungssystemen vornehmen oder Erpressungsversuche starten, um von Aktionen mit potentiell katastrophalen Folgen abzusehen.

SCADA Systeme

Unter SCADA versteht man das Überwachen und Steuern technischer Prozesse mittels Computersystemen. Beispiele dafür sind Kraftwerke, Energieübertragungssysteme, komplexe Produktionsprozesse bei Chemieunternehmen, bei der Erdölverarbeitung oder in der Automobilherstellung.

SCADA Computersysteme im Energieversorgungsbereich werden meist in geschlossenen Netzwerksegmenten betrieben (oftmals „Echtzeitbereiche“ genannt) und waren bislang nach Möglichkeit physikalisch von restlichen Netzwerken der Organisationen getrennt.

Ausgangslage

SCADA Systeme sind aufgrund ihrer speziellen Eigenschaften extrem anfällig für Hackerangriffe, da die verwendeten Basissysteme meist sehr lange Lebenszyklen haben und die verwendeten Softwareumgebungen kaum mit Sicherheitsupdates versehen werden. Zusätzlich reagieren diese SCADA Systeme oftmals bereits mit Systemausfällen, wenn zu viele, aber durchaus legitime Datenpakete, über das Netzwerk empfangen werden.

Erfahrungsgemäß reicht schon eine geringe Störung der üblichen Kommunikationspaketmengen aus, um durchaus großflächige Ausfälle in Stromversorgungsnetzen zu provozieren bzw. Instabilitäten zu erzeugen.

Die Folgen eines Angriffs auf ein SCADA System werden bei der Betrachtung des hochentwickelten Computerwurms Stuxnet deutlich. Stuxnet griff Siemens-Industriesysteme in der für Atomzentrifugen typischen Konfiguration an. Ziel war das Siemens-System Simatic S7, das in Industrieanlagen zur Überwachung und Steuerung technischer Prozesse verwendet wird. Stuxnet setzte tausende Zentrifugen zur Urananreicherung außer Betrieb.

Risiko-Szenarien in SCADA Umgebungen

Der besondere Fokus auf Stabilität und langjährigen Einsatz machen SCADA Systeme typischerweise zu einem sehr einfachen Angriffsziel. Auch hier gilt, dass Angriffe potentiell katastrophale Auswirkungen haben und mit aktuell üblichen Schutzsystemen kaum erkannt werden können.

Dazu einige Beispiele:

Risiko-Szenario 1

PC-Arbeitsplätze des Administrationspersonals der SCADA Systeme verfügen oftmals über Internet Zugang. Auch hier gilt, dass neue Sicherheitslücken der installierten Software eine Verseuchung eines Computers bei Besuch einer vollkommen neutral scheinenden Internet Seite ermöglichen, ohne dass Anwender oder die vorhandenen Schutz-Systeme wie beispielsweise Firewalls oder Anti-Virus die Gefahr entdecken bzw. beseitigen könnten.

Auf diesem Wege könnten diese Administrations-PCs mit Schadsoftware verseucht werden, welche dazu führen könnte, SCADA Systeme zu manipulieren.

Risiko-Szenario 2

Wartungstechniker von Systemlieferungen haben im Kraftwerksumfeld oftmals freien Zugang und können ungehindert eine Verbindung mit dem SCADA Netzwerk herstellen. Damit werden sämtliche Schutzsysteme umgangen, die eigentlich dazu dienen, Fremdgeräten den Zugriff zu verwähren.

Sollte ein Laptop eines Wartungstechnikers mit einem Schadprogramm verseucht sein, könnte dieses, insbesondere durch den tendenziell extrem schlechten Patch-Stand der SCADA-Steuerungssysteme, ungehindert verteilt werden.

Da SCADA Systeme teilweise auf einfachste Kommunikationsanfragen am Netzwerk („Ping“) mit Abstürzen reagieren, könnte Schadsoftware in SCADA Systeme enormen Schaden anrichten und wäre gleichzeitig sehr schwer zu finden.

IT-Sicherheit für den Einsatz von Smart Metering & SCADA Systemen: Konzeptionelle Eckpunkte

Eine Vielfalt besonders schützenswerter Datenströme und Daten auf der einen Seite sowie Einfallstore für Angreifer auf der anderen Seite demonstrieren die umfangreichen Anforderungen an ein hochmodernes, ständig funktionsfähiges und ausgereiftes IT Security Monitoring.

Der Aufbau eines möglichst hohen Abwehrschutzes durch Firewalls führt in IT-Landschaften, bei denen z.B. physisch im ganzen Land verteilte Geräte miteinander kommunizieren, zu keinem ausreichendem Schutz. Einzelne Sicherheitsprodukte decken immer ganz bestimmte, sehr eng definierte Sicherheitsthemen ab. Angreifer konzentrieren sich aber gerade auf das Auffinden von neuen Sicherheitslücken oder Fehler in der Konfiguration. Und so laufen Unternehmen den immer komplexer werdenden Angriffsstrategien regelrecht hinterher. Der Fokus der Sicherheitsmaßnahmen sollte daher auf den Aufbau einer kontinuierlichen Erkennung von Schwachstellen und Angriffen liegen. Ist der Energieversorger in der Lage, die große IT-Landschaft kontinuierlich auf mögliche Einfallstore für Angriffe und auf Auffälligkeiten hin zu überprüfen, kann er blitzschnell und zielgerichtet auf tatsächliche Gefahren reagieren.

Entsprechende Sicherheitsprodukte gibt es in großer Vielfalt am Markt. Bei ihrem Einsatz ist jedoch auf die richtige Auswahl sowie Konfiguration, die ständige Anpassung und die korrekte Ergebnisinterpretation zu achten. Für einen tatsächlichen Schutz aufbauend auf automatisierter Risikoerkennung muss also nachhaltig
eine hohe Qualität und ständige Verfügbarkeit personeller Ressourcen in Form von hochspezialisierten Experten gegeben sein. Aufgrund der derzeitig breiten Diskussion um den Datenaustausch zwischen Privatwirtschaft und staatlichen Institutionen auf der einen Seite und möglicher politischer Dimensionen von Angriffen auf Betreiber von kritischen Infrastrukturen auf der anderen Seite sollte ein Einsatz von IT-Sicherheitsprodukten oder -dienstleistungen mit tatsächlichem oder potentiellem Datentransfer über die EU-Außengrenzen hinweg kritisch evaluiert werden. Eine Verarbeitung, Speicherung oder Weitergabe dieser Daten ist nicht mehr kontrollierbar und unter verschiedenen Rechtsregimen auch nicht zu verhindern.

Leistungen von RadarServices für sicheres Smart Metering & SCADA Systeme

Energieversorgern und SCADA-Systembetreibern sowie deren nachgelagerten Dienstleistern ist bewusst, dass im Rahmen des IT-Sicherheitsmanagements neue, bisher nicht in dieser Dimension vorhandene Anforderungen auf sie zukommen. Es gilt, einen Weg zu finden, diese Aufgaben effektiv und gleichzeitig effizient zu lösen.

RadarServices ist erfahrener Dienstleister für IT Security Monitoring und IT Risk Management im Bereich des Betriebs kritischer Infrastrukturen und für Unternehmen mit einem großen Aufkommen an besonders sensiblen, personenbezogenen Daten wie Banken und Versicherungen. Das Unternehmen überwacht die Sicherheit von komplexen IT-Systemen und identifiziert entsprechende Problemlagen. Besonders bedeutsam für seine Kunden
ist es, dass RadarServices nach dem Einsatz umfassender Werkzeuge zur automatisierten Überwachung auch die notwendigen Risk & Security Intelligence Dienstleistungen übernimmt. So werden die hochkomplexen Werkzeuge dauerhaft korrekt eingesetzt, ständig angepasst sowie Informationen daraus richtig interpretiert – und das ohne gleichzeitig interne Personalressourcen von Kundenunternehmen zusätzlich zu belasten.

RadarServices ist das einzige Unternehmen für IT Security Monitoring und IT Risk Management als Managed Services mit Sitz in Europa. Um einer daraus erwachsenden Verantwortung gerecht zu werden, entwickelte RadarServices Prozesse, die garantieren, dass Daten niemals ein Kundenunternehmen verlassen. RadarServices bietet ein speziell definiertes IT Security Monitoring Paket für Smart Metering und SCADA Systeme an:

In einem ersten Schritt erfolgt eine automatisierte Überwachung der IT-Sicherheit v.a. durch folgende Module:

  • SIEM (Security Information & Event Management): Verwaltet, analysiert und korreliert die verschiedensten
    Quellen von Sicherheits- und Log-Informationen einer IT-Infrastruktur. Auch bekannt als „Security Event Management“
    (SEM).
  • NIDS (Network-based Intrusion Detection): Erkennt gefährliche Malware, Anomalien und anderen Risiken im
    Netzwerkverkehr auf Basis von signatur- und verhaltensbasierten Detection Engines. Analysiert Netzwerk-Kommunikation
    von IT-Systemen und erkennt, wenn risikoreiche Datentransfers oder Einbruchs- bzw. Übernahmeversuche von IT-Systemen stattfinden.
    Erkennt wenn potentiell gefährdete Software-Teile mit dem Internet kommunizieren und Gefahr laufen, einer „Drive-by“ Infektion zum Opfer zu werden.
  • Correlation Engine: Korreliert die gesammelten sicherheitsrelevanten Informationen unterschiedlichster
    Systeme und analysiert diese basierend auf definierten Schwell- und Grenzwerten, Regeln und Direktiven oder
    erlaubten und erwünschten Systemverhaltens.

Die automatisierte Überwachung der IT-Sicherheit wird in einem zweiten Schritt durch die Risk & Security Intelligence Spezialisten ergänzt.

Dies bedeutet die Erbringung wesentlicher Elemente des IT Security Monitoring Prozesses durch Spezialisten. Alle durch diese Experten erzielten Security-Informationen werden dem Kundenunternehmen in verdichteter Form zur Verfügung gestellt, sodass diese unmittelbar verwendet und zur Beseitigung eines identifizierten Problems eingesetzt werden können. Die Auswertung und Verdichtung der gesammelten Daten zu unmittelbar anwendbaren Informationen stellt einen wesentlichen Mehrwert für den Kunden dar: Mitarbeiter des Kunden ersparen sich so, unzählige Informationsquellen zu berücksichtigen, verschiedene Security Lösungen zu konsultieren und/oder bei Herstellern von Hard- und Software nachzuforschen, wie identifizierte Schwachstellen behoben werden können.

Die qualitativ sehr hochwertigen Erkenntnisse über die aktuelle IT-Sicherheitslage eines Unternehmens werden im Risk & Security Cockpit, in detaillierten Berichten sowie gegebenenfalls in Form von Alarmierungen bei akuter Gefahrenlage bereit gestellt.

Praxisbeispiele verdeutlichen den Einsatz der Leistungen:
In einem Smart Meter Netzwerk eines Stromnetzbetreibers werden innerhalb eines kurzen Zeitraums zu viele Unterbrechungsbefehle für Smart Meter versandt. Gleichzeitig erfolgt auffällige Datenkommunikation eines Servers im Smart Meter Steuerungsnetzwerk zu einer Arbeitsstation eines Administrators, welche wiederum auffällige Datenkommunikation zu einer Computeradresse im Ausland erzeugt. Das IT Security Monitoring von RadarServices erkennt auf unterschiedlichen Ebenen die Vorgänge im Netzwerk. Das Security Intelligence Team und das Betriebsteam des Kunden erhält eine Meldung. Sofort analysiert das Security Intelligence Team die Vorgänge und leitet den Kunden durch die Behebung der Problemlage.

RadarServices erkennt SCADA Befehlspakete innerhalb des SCADA Netzwerks eines Energieunternehmens, welche in zu großer Anzahl bei den sensiblen Steuerungssystemen ankommen. Sobald ein definierter Schwellwert überschritten wird, werden Alarmierungen ausgelöst, die dem Überwachungsteam des Kunden die Möglichkeit bieten, zeitgerecht, das heißt, bevor SCADA Steuerungssysteme abstürzen, einzugreifen. Die Leistungen bieten für die Notfallbehandlung wesentliche Informationen bezüglich der Herkunft dieser potentiell störenden Datenpakete.

PDF herunterladen