Iranisch gebundenes Gruppe störte britisches Kraftwerk für vier Tage in einem als Machbarkeitsnachweis beschriebenen Angriff

Ein Bericht des Telegraph, der am 23. August veröffentlicht wurde, enthüllte, was britische Sicherheitsquellen als den ersten Cyberangriff klassifizieren, der ein Kraftwerk im Vereinigten Königreich lahmlegte. Der Angreifer, der mit dem Iranischen Revolutionsgarten (IRGC) in Verbindung steht, brachte einen kleinen Generator im Juli über vier aufeinanderfolgende Tage zum Stillstand. Beamte, die von CNBC und Cybernews befragt wurden, bestätigten den Vorfall am Sonntag und erklärten, dass zu keinem Zeitpunkt die nationale Netzinfrastruktur gefährdet gewesen sei.

Das Ziel wurde nicht veröffentlicht. Die Regierung bat um Vertraulichkeit bezüglich der Identität des betroffenen Kraftwerks, und militärische Quellen beschrieben die Operation als demonstrativen Übung, nicht als Versuch, kollektiven Schaden zu verursachen. Laut dem Telegraph war das Ziel des IRGC, zu beweisen, dass es in der Lage ist, empfindliche Anlagen nach Belieben zu durchdringen und abzuschalten, was mit dem diplomatischen Moment übereinstimmt: London hatte kürzlich Washington die Genehmigung erteilt, gegen den Iran von britischen Stützpunkten aus zu operieren, und Teheran signalisiert, dass es über Vergeltungsmaßnahmen jenseits des herkömmlichen militärischen Theaters verfügt.

Das National Cyber Security Centre wurde sofort nach dem Eindringen aktiviert, und die britische Regierung berief eine geheime Sitzung mit CEOs von Energieversorgern ein, ferner wurden schriftliche Richtlinien an Unternehmen des Sektors gesendet. Es gab keine öffentliche Stellungnahme des Betreibers des betroffenen Kraftwerks, und das Energieministerium schwieg, als es vom Telegraph zu diesem Vorfall befragt wurde.

Angriff fiel mit paralleler Welle gegen Versorgungsunternehmen in den USA zusammen

Der britische Vorfall war nicht isoliert. Quellen, die im Bericht des Telegraph zitiert und von Cybernews reproduziert wurden, beschreiben eine gleichzeitige Welle von Angriffen auf Wasserinfrastrukturen in den Vereinigten Staaten, die Betreiber in 12 Bundesstaaten betraf und bis ins Weiße Haus reichte. Keiner der amerikanischen Vorfälle führte zu einer längeren Dienstunterbrechung, aber alle wurden als Teil derselben koordinierten Kampagne behandelt.

Die gemeinsame Analyse verändert die Risikoeinschätzung für Sicherheitsdirektoren in Versorgungsunternehmen auf beiden Seiten des Atlantiks. Im Vereinigten Königreich hatte sich der Sektor hauptsächlich auf finanzielle Ransomware vorbereitet. Im britischen Fall war der Angreifer ein staatlicher Akteur mit dem Ziel geopolitischer Signalisierung, nicht Erpressung. Dies hebt die Bedrohungsmatrix auf ein Niveau, in dem die operative Sicherheit (OT) sich mit Gegnern auseinandersetzen muss, die juristische Risiken und internationale Sanktionen in Kauf nehmen, um politische Botschaften zu senden.

Das US-Energieministerium hatte bereits im Jahr 2024 das Alarmniveau für Wasserbetreiber erhöht, und eine Richtlinie von CISA aus dem Juni verlangt eine obligatorische Segmentierung zwischen Unternehmens-IT und industriellen Kontrollsystemen. Eine entsprechende Richtlinie auf regulatorischer Ebene existiert derzeit im Vereinigten Königreich nicht, lediglich technische Hinweise vom NCSC.

Was ist mit der Lesart von ‚Machbarkeitsnachweis‘ zu tun?

Für CIOs von kritischen Betreibern in Kontinentaleuropa und Asien ist der zentrale Punkt des Berichts, dass der IRGC die Fähigkeit demonstriert hat, das Ziel über vier volle Tage unzugänglich zu machen, was ausreichend Zeit bietet, um technische Reserven zu aktivieren, falls das Ziel größer gewesen wäre. Das Wort, das in Whitehall im Umlauf ist, lautet 'skallierbar'. Dieselbe Technik, die auf eine Basislastanlage angewendet wird, würde zu einem regionalen Blackout führen.

Deutsche und polnische Betreiber hatten bereits die Ausgaben für die Erkennung in ICS/SCADA-Systemen nach den russischen Angriffen auf das ukrainische Netzwerk erhöht. In Japan, wo Mizuho und MUFG damit begonnen haben, Cyberwar-Übungen gegen die Finanzinfrastruktur durchzuführen, besteht die gleichwertige Sorge, dass der Elektrizitätssektor als Sprungbrett verwendet wird, um Banken zu attackieren, die auf kontinuierliche Energieanlieferung angewiesen sind. Außerhalb der OECD bleibt Brasilien im Versorgungssektor teilweise exponiert: ONS hat die Perimetersicherheit nach dem Stromausfall von 2023 verstärkt, aber etwa 40% der Versorger halten immer noch eine IT/OT-Konvergenz ohne geprüfte logische Segmentierung aufrecht, laut einem Bericht aus dem Februar des CERT.br Zentrums für Informationssicherheit.

Die neue Geographie des staatlichen Cyberrisikos gegenüber Versorgungsunternehmen erfordert eine Antwort, über die die meisten Betreiber noch nicht verfügen: Forensikfähigkeiten in der OT in enger Zusammenarbeit mit den nationalen Cyber-Sicherheitskräften und ein Handbuch für die Eindämmung, das die Stilllegung der Produktion akzeptiert, bevor entschieden wird, ob der Gegner kriminell oder staatlich ist. Solange diese Unterscheidung von einer nachträglichen Analyse abhängt, wird vier Tage offline der Mindeststandard sein, nicht das Maximum.