Hackerattacke auf Klimaanlagen führt zu Stromausfall in komplettem Häuserblock

Forscher legen dar wie Kriminelle Klimaanlagen hacken und so das komplette Stromnetz lahmlegen können.

Auf dem Security Analyst Summit 2016 haben Vasilios Hioureas von Kaspersky Lab und Thomas Kinsey von Exigent Systems enthüllt, wie jeder der 45 Euro zur Verfügung hat, die Klimaanlage seines Nachbarn hacken kann. Wer den richtigen Ort und die richtige Zeit auswählt, kann auf diese Weise sogar das Stromnetz einer kompletten Wohngegend zum Ausfall bringen.

Wie ist das möglich?

Viele Menschen nehmen ihren Energieverbrauch sehr ernst und sind um eine verantwortungsbewusste Stromnutzung bemüht. Dieser Ansatz wird zudem von den Ländern gefördert. In den Vereinigten Staaten von Amerika bieten einige Versorgungsunternehmen ihren Kunden die Möglichkeit, jährlich bis zu 180 Euro zu sparen, wenn sie es dem Anbieter freistellen, zu Spitzenzeiten im Energieverbrauch ihre Klimaanlage auszuschalten. Dies geschieht natürlich ferngesteuert.

Hierfür verbinden die Firmen die Klimaanlage mit einem Spezialgerät, das über Luftschnittstelle Befehle erhält, das Gerät an- oder auszuschalten. Die Sommer sind heiß, aber zu Spitzenzeiten ist es dennoch wesentlich besser, einige Stunden ohne Klimaanlage zu verbringen, als überhaupt keinen Strom zu haben — von daher erscheint diese Verfahrensweise durchaus sinnvoll.

Wenn erforderlich können Netzbetreiber in Regionalzentren über festgelegte Funkfrequenzen den Befehl erteilen, Klimaanlagen auszuschalten. Verstärkerstationen in der ganzen Stadt leiten das Signal weiter, bis es erfolgreich übertragen worden ist. Der Punkt ist, dass keiner der Empfänger, die von unseren Forschern untersucht wurden, über eine Datenverschlüsselung oder eine Authentisierungslösung verfügten. Dadurch konnte jeder, der ein stärkeres Signal aussendete, die Befehle des Versorgungsunternehmens außer Kraft setzen und die Kontrolle über all diese Geräte erlangen.

Das hierfür notwendige Equipment kann jeder erstehen — es ist kostengünstig und nicht schwierig zu finden. Für 45 Euro kann man ein Gerät kaufen, mit dem es möglich ist, mehrere Klimaanlagen in der Nähe an- und auszuschalten. Für 135 Euro wäre es möglich mehrere Häuserblöcke in der Nachbarschaft zu kontrollieren. Kaufkräftige Kriminelle könnten dieses Prinzip im großen Rahmen anwenden und so eine ganze Stadt kontrollieren.

Auch wenn das ein düsteres Szenario ist, ist es zunächst einmal nicht übermäßig bedenklich. Klimaanlagen, die aus der Ferne im Sommer aus- oder im Winter angeschaltet werden, würden nur für einen geringen Teil der Bevölkerung (ältere oder todkranke Menschen) verheerende Folgen haben. Diese Gruppe ist üblicherweise nicht im Visier von Cyberkriminellen. Allerdings können derartige Verfahrensweisen die Geräte funktionsuntüchtig machen.

Das größere Problem besteht darin, dass Kriminelle zu Spitzenzeiten alle Klimaanlagen zeitgleich anschalten könnten. Das kann zu einem plötzlichen Stromausfall im kompletten Stadtteil führen.

Was könnten Kriminelle damit bezwecken?

Ein mögliches Szenario ist, dass Kriminelle einen Gesamtausfall im Stromnetz provozieren, um in das Büro ihres Geschäftskonkurrenten einbrechen zu können. Für derartige Manipulationen von Klimaanlagen bedarf es wohlgemerkt keiner speziellen Kenntnisse. Kriminelle müssen lediglich die vom Versorgungsunternehmen genutzte Radiofrequenz ausfindig machen und die Befehle notieren, die von den Betreibern gesendet werden.

Eine andere Möglichkeit diese Sicherheitslücke auszunutzen besteht darin, den Austausch über die Radiofrequenz zu blockieren, um so vom Preisnachlass des Versorgungsunternehmen zu profitieren und davon ungeachtet trotzdem seine Klimaanlage zu Spitzenzeiten zu nutzen.

Die Forscher haben die Namen der anfälligen Geräte nicht preisgegeben, da sie das Problem derzeit noch mit den Verkäufern diskutieren.

Die Situation zeigt einmal mehr, wie unsicher unsere vernetzte Welt ist. Dabei ist unerheblich, worüber die Verbindung erfolgt — ob über Radiofrequenzen oder über Internet — beides lässt sich hacken, da weder Nutzer noch Versorger genug Wert auf Sicherheit legen.

Technologien entwickeln sich fortwährend weiter und fünf Jahre alte Geräte können mittlerweile schon hoffnungslos veraltet sein. Hioureas und Kinsey haben herausgefunden, dass der in einigen Geräten verwendete Chip, den sie untersucht haben, im Jahr 1995 entwickelt worden war. Selbst wenn sich der Verkäufer für eine Authentisierungslösung entscheiden würde, wäre diese folglich nicht realisierbar, da das Equipment dem nicht gerecht werden könnte.

Tipps
Abonnieren Sie uns und bleiben Sie auf dem neuesten Stand mit unseren Beiträgen
  • Für alle anderen Länder