Gehackte Ampelanlagen: „The Italian Job“ unter dem Blickwinkel der Cybersicherheit

Stellen Sie sich vor, ein atemberaubendes Autorennen, Luxuslimousine gegen Polizeiwagen, und wie von Geisterhand werden alle Ampeln auf grün geschaltet… Die Übernahme der Kontrolle über das Verkehrsmanagementsystem einer Stadt ist bereits zum Standard in der Actionfilm-Branche geworden. Ziel der Darsteller ist es dabei meist, einen Stau für ihre Verfolger zu provozieren oder eine Fluchtroute für sich selbst zu schaffen. Hackers, Stirb langsam 4.0 und Taxi sind nur 3 Beispiele für die künstlerische Umsetzung dieses Hacking-Schemas. Längst ist die einstige durchaus originelle Filmkulisse zum Hollywood-Klischee geworden.

Der Anfang dürfte mit dem britischen Film The Italian Job aus dem Jahr 1969 gemacht worden sein. Es überrascht nicht, dass dies für diese Ära der einzige Cybervorfall in diesem Film war. Aber der Aspekt der Verkehrssabotage brachte viele Imitationen hervor, darunter zwei Neuverfilmungen des Originalfilms, eine von Hollywood (The Italian Job, 2003) und eine von Bollywood (Players, 2012).

Trotz ihrer verschiedenen Darstellungsweisen bleibt die Ampelszene von zentraler Bedeutung. Durch den Vergleich der drei Versionen können wir also die Entwicklung der Einstellung von Filmemachern und Kinobesuchern zu Angriffen auf kritische Infrastrukturen nachvollziehen.

The Italian Job (1969), der britische Weg

Das zukunftsorientierte Turin wird im Grunde genommen als Smart City seiner Zeit dargestellt. Im Film steuert ein Supercomputer jede Ampel von einer einzigen Zentrale aus, in der auch die Daten von Verkehrskameras gesammelt werden. Der Drahtzieher des Überfalls, der früh stirbt, hinterlässt der Hauptfigur Charlie Croker einen detaillierten Plan für einen gewagten Raubüberfall sowie Malware für den Supercomputer und ein unerklärliches Gadget, mit dem Kameras deaktiviert werden können.

Der Ursprung des Programms ist unbekannt; wahrscheinlich ist jemand an den ursprünglichen Quellcode gelangt und hat diesen im Hinblick auf das Chaos modifiziert. Natürlich gab es 1969 nicht nur kein Internet, sondern selbst lokale Netzwerke wurden nicht richtig eingerichtet. Die einzige Möglichkeit, die Malware auf dem Computer zu installieren, besteht darin, sich in das Gebäude zu schleichen und das Magnetband im Laufwerk manuell auszutauschen. Dies erfordert die Dienste von Professor Peach, dem angeblich besten Computerexperten des Landes.

Um in die Verkehrsleitzentrale zu gelangen und das Programm zu ändern, muss der Computer abgeschaltet werden. Croker übernimmt den Auftrag, schleudert sein Fahrrad in ein Umspannwerk und unterbricht nicht nur die Stromversorgung der Verkehrsleitzentrale, sondern auch die des größten Teils der übrigen Stadt (und stürzt ein üppiges Mafia-Fest in die Dunkelheit).

Jetzt betritt Peach die Bühne, nimmt die Bandspule aus dem Laufwerk und bestückt es mit einem neuen. Mit dem Stromausfall ist das ohnehin alles, was noch zu tun bleibt. Also besorgen sie sich einen Computerexperten, der die Aufgabe eines Laboranten übernimmt. Falls Sie den Witz verpasst haben, dieses technische Genie wird vom Komiker Benny Hill gespielt.

Die nächste Phase des Plans besteht darin, die Kameras auszuschalten. Um die Verkehrsleitzentrale auf die falsche Fährte zu bringen und den eigentlichen Raubüberfall zu verbergen, platzieren die Kriminellen einige Geräte – wahrscheinlich Störsender, aber die Details werden nicht verraten – auf Mülltonnen und Dächern in der Nähe der Kameras. Damals konnten Verkehrskameras noch keine drahtlosen Signale übertragen, aber die mysteriösen Geräte schaffen es, die Kameras zu deaktivieren.

Das Ergebnis: Alles läuft wie am Schnürchen. Die Kameras schalten sich aus, die Ampeln beginnen zu blinken, die Straßen der Stadt sind lahmgelegt, und Peach wird wegen unsittlichen Verhaltens in öffentlichen Verkehrsmitteln verhaftet (nicht fragen).

Die britische Version: Takeaways

Cybersicherheit

• Der Film zeigt eine eher ablehnende Haltung gegenüber der physischen Sicherheit kritischer Infrastrukturen. Sowohl das Umspannwerk als auch die Verkehrsleitzentrale sind praktisch unbewacht. Die Angreifer gelangen problemlos an das Laufwerk und tauschen das Band erfolgreich aus.
• Der Computer akzeptiert das Ersatzprogramm ohne Frage. Das ist eigentlich entschuldbar; das Code Signing wurde erst viel später erfunden.

Wahrnehmung

• Computer-Hacking wird als etwas hochkomplexes wahrgenommen. Um den Computer zu täuschen, wendet die Bande viel Energie auf, um den besten Computerexperten des Landes zu rekrutieren (nur, um dann von ihm eine Bandspule wechseln zu lassen).
• Es wird nicht versucht, die technische Seite der Dinge zu erklären; stattdessen deaktivieren Blackbox-Geräte auf wundersame Weise die Kameras.

The Italian Job (2003), der amerikanische Weg

Die Hollywood-Version kann meines Erachtens nicht als direkte Neuverfilmung des britischen Films betrachtet werden. Sicher, die Figuren haben das gleiche Ziel (Goldbarren zu stehlen), und die Verfolgungsszene ist praktisch eine Kopie des Originals, aber die Beweggründe sind sehr unterschiedlich. Abgesehen von Psychologie und Moral müssen sie immer noch mit Kameras und Ampeln herumspielen. Aber diese Kriminellen müssen nicht nach einem Spezialisten suchen; sie haben bereits ein Computergenie im Team: Lyle, dessen Tagesgeschäft zufällig die 3D-Modellierung von Gebäuden zur Planung und Koordination von Raubüberfällen umfasst. Und hier haben wir die digitale Veränderung bei der Arbeit. Im Jahr 2003 wird es als ziemlich normal angesehen, einen Computerspezialisten im Team zu haben.

Außerdem erfordert die amerikanische Version des Films etwas mehr Hacking. Zunächst versuchen die Kriminellen, sich in das Fernüberwachungssystem einer Telefongesellschaft zu hacken, indem sie deren Mitarbeiter davon überzeugen, dass es sich um eine legale Abhöraktion handelt. Schließlich leiten sie den Audiostrom auf ihren eigenen Abhörposten um. Lyle hat Erfahrung mit letzterem, da er jahrelang seine Ex-Frau belauscht hat.

Aber der Haupthack ist unverändert. Der Einstieg in das Los Angeles Automated Traffic Surveillance and Control Operations Center im Jahr 2003 ist wesentlich einfacher als 1969 in die Turiner Zentrale – die Anlage ist mit dem Internet verbunden und verfügt sogar über eine grafische Benutzeroberfläche (GUI). Lyle sitzt an seinem Laptop und versucht, das Passwort herauszufinden – manuell. Er gibt Passwort um Passwort ein, ohne Erfolg, bis endlich die magischen Worte „Access Granted – Zugriff gewährt“ auf dem Bildschirm erscheinen.

Die Einsatzzentrale prognostiziert den Verkehrsfluss und wechselt automatisch die Ampeln aufgrund der Kameraaufnahmen. Aber sie hat auch einen manuellen Modus, und Lyle nutzt diesen, um die Kontrolle über die Ampeln zu übernehmen. Zur Demonstration stellt er alle Ampeln an einer Kreuzung auf Grün und verursacht dadurch einen Unfall. Aber er schaltet die Ampeln schnell wieder zurück, und die Zentrale hält den Vorfall für eine Störung.

Der Plan der Bande ist es, eine grüne Welle zu erzeugen, die es ihnen erlaubt, einfach alle Kreuzungen zu überqueren und den Rest von Los Angeles zu blockieren. Am Tag des Überfalls sitzt ein etwas benommener Lyle mit einem Laptop und einem Router bewaffnet auf einem Gepäckkarussell in der Union Station, überwacht die Situation auf den Straßen, schaltet die Signallichter um (nicht nur auf der Straße, sondern auch in der U-Bahn) und lähmt das Kontrollzentrum, indem er auf jedem Bildschirm die Meldung „You’ll never shut down the real Napster“ anzeigt. (Als zusätzliches Handlungselement behauptet Lyle, dass er das Peer-to-Peer-Netzwerk Napster erfunden hat und dass Shawn Fanning seine Idee gestohlen hat. Lyle nennt sich selbst gerne Napster. Er ähnelt, um fair zu sein, dem stereotypen Computergenie).

Dank der gut koordinierten Operation wird das Gold gestohlen, alle entkommen, und der hinterhältige Schurke fällt in die Hände der ukrainischen Mafia, die noch eine offene Rechnung mit ihm zu begleichen hat.

Die US-Version: Takeaways

Cybersicherheit

• Falls das Passwort für den Remote-Zugriff auf ein System manuell gewählt werden kann, handelt es sich um ein schlechtes Passwort.
• Eine kritische Infrastruktur muss eine gesicherte Internetverbindung verwenden und sollte nicht über eine webbasierte GUI steuerbar sein. Und es sollte selbstverständlich sein, dass das Personal seinen Blick nicht auf eine idiotische Nachricht richten sollte, anstatt zu versuchen, etwas dagegen zu unternehmen. Sogar die fiktiven Italiener von vor 34 Jahren hatten mehr Ahnung davon!

Wahrnehmung

• Bis 2003 sind Hackerangriffe an der Tagesordnung, sodass der Raubüberfall auf mehr als nur die Deaktivierung einiger Ampeln angewiesen ist. Das Eindringen in die Verkehrsleitzentrale ist bei dieser Neuverfilmung, die keine Neuverfilmung ist, eine Standardoperation, die sich während der Planungsphase ganz natürlich ergibt.
• Lyle/Napster erklärt immer wieder, was er tut und wie er es tut. Was er sagt, ist natürlich Unsinn, aber der Punkt ist, dass die Filmemacher die Ereignisse auf dem Bildschirm in einer realen Version verwurzeln wollten.

Players (2012), der indische Weg

Die indischen Filmemacher versuchten, das Beste aus beiden Versionen von The Italian Job herauszuholen und mit Bollywood-Glamour aufzupeppen, einschließlich Verfolgungsjagden, Gesang, Tanz, hochmoralischer Gesinnung und natürlich Hacking. Die Handlung ist zugegebenermaßen ziemlich wild: Russland gibt Rumänien etwas Gold zurück, das die rumänische Regierung vor der deutschen Invasion 1915 in Russland versteckt hatte. Fiese russische Armeeoffiziere transportieren das Gold, die noch fiesere russische Mafia ist auf der Jagd danach, und eine Gruppe edler indischer Räuber will das Gold stehlen und mit den Geldern eine Schule für Waisenkinder bauen.

Natürlich braucht die Smash-and-Grab-Operation den besten Hacker der Welt. Und der braucht einen echten Hacker-Handle: in diesem Fall ist es Spider. Ein Problem: Niemand weiß, wo er zu finden ist. Glücklicherweise hat die Freundin der Hauptfigur einen Master-Abschluss in Computerwissenschaften mit Auszeichnung und einen Master-Abschluss in ethischem Hacking (klar, warum nicht?). Sie bricht in die Systeme des „besten Hackers der Welt“ ein und stellt fest, dass er tatsächlich in der Nähe wohnt. Nachdem sie ihn entführt hat, überredet sie ihn, sich am Überfall zu beteiligen.

Dem Plan zufolge hat der entführte Hacker zwei Aufgaben zu erfüllen. Erstens muss er sich in die Webseite der russischen Armee einhacken, um Informationen über die Offiziere zu erhalten, die die Fracht befördern. Zweitens muss er einen Satelliten hacken, der die Bewegungen des Zuges mit dem Gold in Echtzeit überwacht (und dabei das Kontrollzentrum lahmlegen).

Beide Aufgaben bewältigt er leicht, indem er ein paar Tasten auf einem Laptop antippt. Dann jedoch wendet er sich gegen die Bande, schnappt sich das Gold für sich selbst und flieht. Damit überlässt er die Aufgabe, die Ampeln zu deaktivieren, dem Meister des ethischen Hackens. Übrigens tut sie dies auf genau dieselbe Weise, mit einem schnellen Trommelwirbel auf der Tastatur, um die Kontrolle über die Ampeln zu erlangen.

Die indische Version: Takeaways

Cybersicherheit

• Es gibt keine nennenswerte Cybersicherheit. Alle Systeme können aus der Ferne gehackt werden, ohne vorherige Vorbereitung – einfach nur auf die Tastatur virtuell tippen, je schneller, desto besser.

Wahrnehmung

• Hacker sind Magier.

The Italian Job: Fazit

In allen drei Filmen versuchen die Kriminellen, Blutvergießen zu vermeiden, und in den letzten beiden Filmen lassen sie sich sogar (teilweise) von edlen Absichten leiten: Rache für den Mord an einem Lehrer und der Wunsch, eine Schule für Waisenkinder zu bauen. Sie denken jedoch nie darüber nach, welche Folgen es für Feuerwehrleute, Krankenwagen und dergleichen hätte, wenn eine riesige Stadt vom Verkehr abgeschnitten würde. Und das bedeutet Opfer unter der Zivilbevölkerung. Auch wenn die Räuber als gute Jungs dargestellt werden, ist es schwer, mit ihnen zu sympathisieren.

Was die Cybersicherheit betrifft, so hat sich das Bild des „genialen Hackers“ im Laufe eines halben Jahrhunderts dramatisch verändert. Falls der Hacker früher ein begabter, aber seltsamer, weltfremder Typ war, wird ein Hacker heute als selbstbewusster, fast allmächtiger Technowizard dargestellt. Die Übernahme der Kontrolle über Ampeln hat sich von einem komplexen zu einem kinderleichten Vorgang gewandelt. Die Realität sieht natürlich ganz anders aus. Das Verkehrskontrollsystem einer Stadt zu hacken, ist weitaus schwieriger, als es auf der Leinwand dargestellt wird

Die Omnipotenz von Hackern in Filmen wirkt sich negativ auf die Wahrnehmung der Bedrohung durch kriminelle Eingriffe in kritische Infrastrukturen aus. Unseren Kollegen von Kaspersky Security Awareness zufolge schadet das filmische Stereotyp des genialen Hackers der Sicherheit realer Unternehmen. Die Leute sind so sicher, dass schlechte Schauspieler alles tun können, dass sie sich nicht um maximalen Schutz kümmern und unnötige Schlupflöcher hinterlassen.

Aus diesem Grund empfehlen wir dringend eine Schulung des Sicherheitsbewusstseins der Mitarbeiter, die ihnen zeigt, wie es in der realen Welt zugeht. Zum Beispiel bietet unsere Kaspersky Automated Security Awareness Platform Lerninhalte, die Fakten von Fiktion trennen.