Solche Steuerungen gehören nicht ins Internet.

Solche Geräte gehören nicht ins Internet

Während der Cybersicherheits-Konferenz Defcon im letzten Jahr, demonstrierte Sicherheitstester Dan Tentler wie einfach mit Shodan nach steuerbaren Geräten gesucht werden kann. Er fand eine Autowaschanlage, die ein- und ausgeschaltet werden konnte und ein Eishockeyfeld in Dänemark, das per Knopfdruck enteist werden kann. Das Verkehrsleitsystem einer ganzen Stadt konnte per Internet in den Testmodus versetzt werden. Er stiess sogar auf ein Kontrollsystem für ein Wasserkraftwerk in Frankreich.

Viele dieser Geräte müssten gar nicht mit dem Internet verbunden sein. Viele Firmen kaufen komplette Steuerungslösungen, die ihnen so viel Kontrolle wie möglich geben. Um, zum Beispiel, eine Heizung per Computer zu steuern wird dann die Heizung nicht direkt an den Steuerungscomputer angeschlossen, sondern direkt an einen Webserver. Schon ist die Heizungssteuerung vom Internet her erreichbar. An Sicherheit denkt hier kaum jemand.

«Natürlich haben diese Geräte keine Sicherheitsmechanismen, » so Matherly, «sie gehören gar nicht erst ins Internet.»

Die gute Nachricht

Shodan wird hauptsächlich für legale Zwecke benutzt. Die Suche ist ohne Konto auf zehn Treffer limitiert und lässt keinerlei Personalisierung zu. Auch mit einem kostenlosen Nutzerkonto ist Shodan noch auf einige Seiten limitiert und zeigt nicht alle Einträge. Will man alles sehen, verlangt Matherly mehr persönliche Daten, ein Motivationsschreiben und eine Gebühr. Die Hauptnutzer von Shodan sind Sicherheitstester, Forscher und Gesetzeshüter. Zudem hätten Cyberkriminelle meist Zugang zu Botnetzen, die ihnen dieselben Informationen zuspielen, mit weniger Risiken. Sicherheitsfachleute versuchen mit Shodan, betroffene Betreiber zu informieren und sie über die Schwachstellen im System aufzuklären. Dennoch sind nach wie vor zehntausende Geräte, vom Drucker bis zum Kraftwerk über das Internet angreifbar.