Folge 26 - Cybersicherheit

00:00:03: Willkommen bei Gegenstrom, den Podcast zur Energiewende.

00:00:08: Wissen, Klarheit, Orientierung in allen Themen rund um die Energiewirtschaft in Österreich – jede Woche im zehnminütigen Kurzformat!

00:00:19: Ich bin Angelika Kabert und hier kommt das Gegendström-Thema der Woche.

00:00:32: Da ist es geschehen.

00:00:34: Klumpenrisiko, der Pinky und der Brain.

00:00:39: Weltherrschaft aus der Cloud.

00:00:43: Hey Brain!

00:00:44: Was wollen wir denn heute Abend machen?

00:00:46: Genau dasselbe wie jeden Abend Pinky Wir versuchen die Weltherrschaft an uns zu reißen.

00:00:52: Und welchen Plan entwickeln wir heute Nacht?

00:00:55: Wir starten einen Cyberangriff auf eine Supermarktkette und lassen die Kühlung ausfallen.

00:01:00: Dann erkennt mich die Menschheit endlich als ihren rechtmäßigen Herrscher an.

00:01:05: Na, eine großartige Idee!

00:01:08: Aber was essen wir dann?

00:01:10: Pinky ist dir eigentlich klar das der einfachste Weg zur absoluten Weltherrschaft, die ganze Zeit direkt vor meiner Nase steht... Eine

00:01:19: Kaffeemaschine?!

00:01:20: Nein Pinky noch besser Wir starten einen Angriff auf das Energieversorgungssystem.

00:01:27: Die aktuelle Berichterstattung zeigt längst Cyberangriffe sind das Mittel der Stunde, um die Weltherrschaft an sich zu reißen.

00:01:35: Oder etwas banaler – ein großes Chaos zu verursachen!

00:01:39: Ob Kühlsysteme, Websites oder klassischer Datendiebstahl Die digitale vernetzte Welt bietet eine breite Spielwiese für Kriminelle Und auch die Energiewirtschaft ist davor nicht sicher Denn mit der Energiewende elektrifizieren wir nicht nur.

00:01:55: Die Energieversorgung wird auch zunehmend dezentraler und vor allem digitaler.

00:02:01: Fotovoltaikanlagen, Batteriespeicher, Wärmepumpen, Wallboxen und Energiemanagement-Systeme werden miteinander vernetzt und Software gesteuert – auch aus der Ferne!

00:02:13: Das hat entscheidende Vorteile.

00:02:15: Das Energiesystem wird nicht nur nachhaltiger, regionaler und effizienter sondern auch der Energieverbrauch wird steuerbar.

00:02:23: Das kann Kosten sparen und helfen das Stromsystem end statt zu belasten.

00:02:29: Aber wo Licht ist, ist auch Schatten und der heißt Cyberangriff.

00:02:34: Je mehr wir digitalisieren und vernetzen, desto mehr Möglichkeiten gibt es von außen in physische Systeme einzugreifen – das kann die Kühlung eines Supermarkts sein oder eben die Energieversorgung!

00:02:47: Kraftwerke und Netzleitstellen waren schon immer Ziele.

00:02:51: Neu ist, dass Erzeugung, Speicherung und Steuerung heute auch in Haushalten stattfinden – auf dem Dach im Keller oder in der Garage.

00:03:00: Ein einzelner Wechselrichter- oder Batteriespeicher ist für das europäische Stromsystem dabei unbedeutend.

00:03:07: Das Risiko entsteht durch die Masse!

00:03:10: Werden hunderttausende Geräte über dieselbe Herstellerplattform, Cloud, App, Wartungsfirma oder Optimierungslogik erreicht entsteht eine große gemeinsam steuerbare Leistung.

00:03:22: Um hier Schaden anzurichten muss eine Laborratte nicht einmal ihr Gebäude verlassen.

00:03:28: Die Aggregation vieler kleiner Komponenten kann dieses System relevant machen.

00:03:33: Eine PV-Anlage per Fernsteuerung vom Netz nehmen ist nur für einen Haushalt ein Problem.

00:03:39: Mit einer Million Anlagen geht es plötzlich um die Versorgungssicherheit.

00:03:44: Genau mit diesem Risiko beschäftigt sich inzwischen auch die österreichische Energiewirtschaft.

00:03:50: Auf dem diesjährigen Kongress von Österreichs Energie wurde eine Studie des AIT zur Cybersicherheit von PV-Wechselrichtern ausgezeichnet, Die Studie untersuchte welche Folgen es haben könnte wenn nicht nur ein einzelner Wechselrichter sondern viele Geräte gleichzeitig beeinflusst werden.

00:04:09: Fotovoltaik ist längst ein wichtiger Teil des europäischen Stromsystems.

00:04:17: In den Sonnenreichen Mittagsstunden liegt ihr Anteil im Europäischen Übertragungsnetz zeitweise bei über dreißig Prozent, an Spitzentagen bei über fünfzig Prozent.

00:04:32: Die Studie kommt zu dem Schluss, dass hierbei vor allem die hohe Marktkonzentration von Wechselrichter-Herstellern ein Risiko darstellt.

00:04:41: Zwölf Hersteller decken dabei eighty-five Prozent des weltweiten Wechselrechtermarktes ab.

00:04:48: Werden schwachstellen oder zentrale Zugänge bei einem dieser Herstelle ausgenutzt können damit potenziell sehr viele Anlagen gleichzeitig betroffen sein.

00:04:58: Das AIT nennt dabei drei Gigawatt als relevante Größenordnung, auf die das europäische Stromsystem vorbereitet sein muss.

00:05:07: Dabei handelt es sich um keine fixe Blackout-Grenze sondern um einen europäischen Referenzstörfall.

00:05:14: Einen plötzlichen Verlust dieser Leistung muss das Stromsystem ausgleichen können.

00:05:20: Zudem besteht eine regulatorische Lücke.

00:05:23: Ein Großteil der PV-Anlagen fallen nicht unter die strengen Vorgaben von NIST II, einer EU-Richtlinie, die Unternehmen zu mehr Cybersicherheit verpflichtet.

00:05:34: Für die Sicherheit vernetzter Produkte gibt es zusätzlich den Cyber Resilience Act.

00:05:40: Der Grundgedanke?

00:05:42: Der Hersteller muss seine Produkte so entwickeln, dass sie möglichst sicher sind und das in weiter Zukunft auch bleiben!

00:05:50: Doch auch hier sieht die Studie eine Lücke.

00:05:53: Bei Wechselrichtern reicht derzeit standardmäßig eine Erklärung des Herstellers aus, das AIT empfiehlt deshalb strenge technische Mindestanforderungen und besser abgesicherte Software.

00:06:06: Aus der Praxis kennt man das Problem.

00:06:09: Stefan Haslinger von der Schubert-Klinetech GmbH meint dazu – insbesondere große Energieanlagen sind potenzielle Angriffsziele für Cyberangriffe.

00:06:19: Wir sollten darum auch bei der Errichtung von erneuerbaren Energieanlagen genauso sorgfältig planen und errichten wie bisher.

00:06:27: Warte mal kurz, Pinky!

00:06:30: Geht ihr eigentlich dasselbe durch den Kopf wie mir?

00:06:33: Ich glaube schon, Brain – aber dafür müsste ich erst einmal wissen was durch den Kopfgehen eigentlich heißt….

00:06:39: Der Schlüssel für die Weltherrschaft liegt in der Cloud... wir müssen dazu nicht einmal das Labor verlassen.

00:06:45: Die Steuerung vieler dieser Anlagen läuft möglicherweise über einen Server im Ausland.

00:06:51: Wir verschaffen uns Zugang über ein Portal und fahren dann alle Anlagen runter!

00:06:56: Wohin fahren wir?

00:06:57: Nach

00:06:57: China?!

00:06:59: Der Angriffspunkt liegt dabei oft gar nicht im Gerät selbst, sondern in Portalen – Benutzerkonten, Kommunikationsmodulen oder Klausysteme.

00:07:09: Hersteller-Installateur, Wartungsfirma, Aggregator und App-Anbieter können jeweils direkten oder indirekten Zugriff besitzen.

00:07:17: Das Problem ist dabei kein rein chinesisches.

00:07:21: Im Jahr twenty-fünfundzwanzig wurden etwa sechsundvierzig neue Schwachstellen bei Produkten bzw.

00:07:27: Plattformen der Wechselrichterhersteller SunGrow, GrowWatt und SMA gefunden.

00:07:34: SMA ist ein deutsches Unternehmen!

00:07:36: Blackout und Krisenvorsorge-Experte Herbert Zauruck bringt es auf den Punkt.

00:07:42: Entscheidend ist nicht nur, wo die Hardware gebaut wurde – entscheidend ist wer morgen aus welcher Rechtsordnung heraus auf wie viele Geräte zugreifen kann und ob dieser Zugriff kontrollierbar ist.

00:07:55: Die EU setzt aus dem Grund zunehmend auf strengere Lieferantenbewertungen und versucht Abhängigkeiten schrittweise abzubauen.

00:08:03: Cyber-Angriffe sind aber nicht das einzige Risiko, denn in einem digitalisierten Energiesystem kann auch etwas schiefgehen ohne dass zwei größen wahnsinnige Labormäuse eingreifen.

00:08:15: Reagieren beispielsweise Tausende Geräte gleichzeitig auf die selben Signale – eine Cloud fällt aus, Geräten spielen nicht richtig zusammen oder ein fehlerhaftes Update wird breit ausgerollt, kann das Auswirkungen auf viele Anlagen gleichzeitig haben!

00:08:32: Wie können wir das Problem nun lösen?

00:08:34: In erster Linie braucht es mehr Bewusstsein für das bestehende Risiko und zwar weit über die Energiebranche hinaus.

00:08:41: Denn wenn Privathaushalte zunehmend zu aktiven Akteuren im Energiesystem werden, betrifft Cyber-Sicherheit längst nicht nur mehr Energieunternehmen.

00:08:51: Bewusstsein allein reicht allerdings nicht – Es braucht klare Sicherheitsanforderungen für Hersteller, Betreiber und Dienstleister!

00:09:00: und zwar nicht nur für große Kraftwerke, sondern zunehmend auch für kleinere vernetzte Anlagen.

00:09:06: Energieinfrastruktur war immer schon ein attraktives Ziel und muss mit großer Sorgfalt auf allen Ebenen geschützt werden.

00:09:14: Zu dieser Infrastruktur gehören nicht nur physische Anlagen, sondern auch ihre digitale Steuerung.

00:09:20: Sollte es zu einem Ausfall oder einer Störung kommen – aus welchem Grund auch immer – braucht es eine sichere Rückfallebene.

00:09:28: Anlagen müssen kontrolliert weiterarbeiten können.

00:09:31: Und dann ist Einschlüssel Suverinität, das betrifft einerseits Lieferketten und Hersteller andererseits aber auch Daten- und Zugriffsrechte.

00:09:41: Wenn Daten und Steuerungsmöglichkeiten unserer Energieinfrastruktur zunehmend in der Cloud liegen sollten auch diese Cloud-Infrastrukturen in Europa betrieben werden und europäischen Recht unterliegen.

00:09:56: Europäische Energieversorgung braucht deshalb auch eine europäische Datensouveränität.

00:10:02: Fazit!

00:10:04: Wir leben in einer immer vernetzteren digitalen Welt und diese macht auch vor dem Energiesystem nicht halt.

00:10:10: Mit der Energiewende wird unsere Stromerzeugung immer dezentraler.

00:10:15: Die digitale Steuerung konzentriert sich dagegen auf vergleichsweise wenige Hersteller, Plattformen und Clouds.

00:10:22: Es ist eine Frage der europäischen und nationalen Versorgungssicherheit, das Stromsystem als Gesamtsystem zu betrachten – und Sicherheitsanforderungen nicht nur an große Kraftwerke sondern zunehmend an kleine Vernetzte-Anlagen zu stellen.

00:10:38: Denn genau hier liegt das Risiko!

00:10:40: Die Energiewende verteilt sich auf immer mehr kleine Anlagen.

00:10:44: Digital gebündelt stellen sie ein attraktives Ziel dar.

00:10:48: Dezentral ist nicht automatisch mit Resilienz gleichzusetzen, wenn die Steuerung zentral basiert.

00:10:55: Cyber-Sicherheit muss darum künftig beim gesamten Energiesystem mitgedacht werden.

00:11:02: Pinky, komm!

00:11:03: Wir müssen uns auf morgen Abend vorbereiten.

00:11:06: Wieso?

00:11:07: Was wollen wir den Morgenabend

00:11:08: machen?!

00:11:09: In letzter Minute eine Podcastfolge runterbrettern?

00:11:12: Nein Pinky – das machen wir doch jeden Donnerstag.

00:11:15: Morgen machen wir dasselbe wie jeden Abend Wir versuchen, die Weltherrschaft an uns zu reißen.