US-Studie: Intelligente Stromnetze sind nicht sicher

Es fehlen unter anderem Einrichtungen zur Erkennung und Analyse von Angriffen. Die Kraftwerksbetreiber kümmern sich nur um die Erfüllung von Minimalvorgaben. Die Regulierer haben keinen Plan zur Schließung der Sicherheitslücken.

von Elinor Mills und Jan Kaden am 20. Januar 2011 , 15:09 Uhr

Harsche Kritik an der Sicherheit der amerikanischen Smart Grids (intelligente Stromnetze) hat das Government Accountability Office (GAO) geäußert, ein Kontrollorgan des Kongresses, ähnlich dem Bundesrechnungshof. Laut seinem Bericht fehlen wichtige Sicherheitsmaßnahmen.

Die Kraftwerksbetreiber erfüllten nur die minimalen gesetzlichen Anforderungen, ohne sich adäquat gegen Cyberangriffen zu schützen. Bestimmte intelligente Strommesser würden nicht als Teil einer wirksamen Sicherheitsarchitektur von Stromnetzen konstruiert, steht in dem Bericht. Ihnen fehlten wichtige Funktionen wie das Logging von Systemereignissen oder forensische Funktionen zur Erkennung und Analyse von Cyberattacken. Dasselbe gelte auch für Heimnetzwerke, die den Stromverbrauch von häuslichen Anwendungen regeln.

„Ohne auf Sicherheit ausgelegte Smart-Grid-Systeme gehen Stromversorger das Risiko ein, mögliche Angriffe nicht erkennen und analysieren zu können. Das wiederum erhöht das Risiko, dass solche Angriffe Erfolg haben und die Stromversorger keine Chance bekommen, eine Wiederholung zu verhindern“, heißt es in dem Bericht.

Die Autoren kritisieren auch das System der Eigenverantwortung in der Branche. Die Betreiber kümmerten sich nur um die minimalen gesetzlichen Anforderungen. Das zuständige National Institute of Standards and Technology (NIST) „hat keinen festen Plan oder Zeitplan mit festen Meilensteinen für die Aktualisierung und Überarbeitung seiner Richtlinien zur Computersicherheit, um eine Lösung für die wichtigen fehlenden Elemente zu erarbeiten“, stellen die Autoren fest. Insbesondere habe das NIST keine Lösung für das Risiko von kombinierten Attacken mit computertechnischen und physischen Mitteln.

„Die Federal Energy Regulatory Commission (FERC) hat keinen Plan, wie sie in Absprache mit anderen Regulierungsbehörden kontrollieren kann, wie weit die Industrie den Standards, die sie für Smart Grids aufstellt, auch tatsächlich folgt“, steht in dem Bericht. „Die freiwilligen Standards und Richtlinien, die von der NIST und FERC erarbeitet werden, sind vielversprechend. Ein freiwilliges Vorgehen stellt aber im Zusammenhang mit Smart-Grid-Investitionen ein Risiko dar. Das gilt ganz besonders, wenn man die starke Fragmentierung der gesetzlichen Kompetenzen gegenüber der Strombranche betrachtet.“

In Kommentaren zu dem Bericht, die im Anhang zu finden sind, erklärt das US-Handelsministerium (Department of Commerce), das die Aufsicht über das NIST hat: „Das NIST stimmt zu, dass das Risiko von kombinierten Cyber- und physischen Attacken auf Smart Grids ein Gebiet ist, das in Zukunft genauer untersucht werden sollte“.

Der FERC-Vorsitzende Jon Wellinghoff wird im Anhang mit den Worten zitiert, dass er seine Mitarbeiter auffordere, Methoden zur Verbesserung der Kommunikation zwischen den Regulierungsbehörden zu finden. Man werde evaluieren, ob man die in dem Bericht angesprochenen Probleme mit den Cybersecurity-Mitteln der FERC lösen könne. Dabei müsse man aber im Rahmen der gesetzlichen Möglichkeiten der Kommission bleiben.