Europas Flughäfen durch Ransomware-Attacke lahmgelegt – das lernen wir daraus
Der europäischen Luftfahrtindustrie wurde am Wochenende einmal mehr vor Augen geführt, dass ihr durch die digitale Vernetzung grosse Gefahren drohen.
Seit 2010 versucht die Europäische Union, den zur kritischen Infrastruktur zählenden Luftverkehr besser vor Angriffen durch Cyberkriminelle abzuschirmen. In den vergangenen Tagen erlitten diese Bemühungen einen massiven Rückschlag. Mehrere Flughäfen in Europa, darunter das wichtige Drehkreuz London Heathrow, wurden durch einen Hackerangriff massiv beeinträchtigt.
Was ist passiert?
Am vergangenen Freitagabend starteten Cyberkriminelle ihren Angriff auf das US-Unternehmen, das die Software für die Check-in-Systeme entwickelt. Über das Wochenende hinaus kam es zu massiven Verspätungen und sogar zu Annullationen von Linienflügen.
Am Montagmorgen bestätigte die zuständige EU-Cybersicherheitsbehörde ENISA, dass es sich um die Auswirkungen einer Ransomware-Attacke handelte.
Die BBC zitiert aus einem internen Memo an die Angestellten in Heathrow, wonach über tausend PCs möglicherweise «beschädigt» seien und die meisten Arbeiten, um sie wieder online zu bringen, persönlich und nicht aus der Ferne durchgeführt werden müssten.
Im selben Memo hiess es auch, dass die gehackte US-Firma Collins Aerospace ihre Computer neu aufgesetzt und neu gestartet habe, «nur um dann festzustellen, dass die Hacker immer noch im System waren».
Welche Ransomware-Operation hinter dem Angriff auf den IT-Dienstleister Collins Aerospace steckt, wollte die Behörde nicht verraten. Anzumerken ist, dass die Softwarefirma, die zum US-Rüstungskonzern RTX gehört, schon 2024 erfolgreich gehackt worden war. Damals behauptete die Ransomware-Bande BianLian im Darknet, 20 Gigabyte an Daten gestohlen zu haben.
Wie ist das möglich?
Es handelt sich um eine Supply-Chain-Attacke. Damit sind Hackerangriffe gemeint, die statt des eigentlichen Ziels einen damit verbundenen Dritten, etwa einen Anbieter von Software, kompromittieren.
Die Angreifer nehmen demnach ein schwächelndes Element in der Lieferkette eines Unternehmens oder einer Organisation ins Visier und schaffen es dank der Komplexität des Systems, viel Schaden anzurichten.
Konkret wurde die massive Störung des Luftverkehrs durch eine Software verursacht, die kaum jemand ausserhalb der Luftfahrtindustrie kennt, die aber als Herzstück moderner Flughäfen gilt. Sie heisst «Muse» und wird für die Passagierabfertigung eingesetzt.
Dieser Ansatz der gemeinsamen Nutzung sei als Kostenersparnis und Effizienzsteigerung gepriesen worden, hält die «International Business Times» fest. Doch wie das jüngste Chaos illustriere, entstehe dadurch auch eine gefährliche einzelne Fehlerquelle.
Als Muse durch den Cyberangriff offline ging, konnten Fluggesellschaften in mehreren Ländern gleichzeitig ihre Passagiere nicht mehr elektronisch abfertigen.
Für Reisende habe der Vorfall – abgesehen vom Ärger der Direktbetroffenen – einen Einblick hinter die Kulissen der modernen Luftfahrt geboten. Der scheinbar alltägliche Check-in-Schalter sei in Wirklichkeit Teil eines riesigen, vernetzten Systems. Wenn dieses System ausfällt, können sich die Auswirkungen innerhalb weniger Minuten über ganze Kontinente ausbreiten.
Der Bericht ruft den «globalen IT-Absturz» im vergangenen Jahr in Erinnerung, der unter anderem zu Flugausfällen in den USA führte. Auslöser damals waren aber keine Hacker, sondern ein fehlerhaftes Software-Update des IT-Sicherheitsunternehmens CrowdStrike.
Was hat das mit der NIS-2-Richtlinie zu tun?
Seit Oktober 2024 gelten in Europa strengere IT-Sicherheitsvorschriften für Fluggesellschaften, Flughafen-Betreiber und die Flugsicherungs-Organisationen.
Gemäss der von der Europäischen Union (EU) erlassenen Richtlinie NIS-2 müssen in der Zivilluftfahrt tätige Unternehmen ein verlässliches Sicherheitsmanagement haben. Dazu gehören klare Pläne für den Notfall, regelmässige Software-Updates und Tests, starke Passwörter/Multifaktor-Log-ins und Regeln für Dienstleister.
Die EU-Richtlinie bezweckt die Stärkung der Cybersicherheit bei kritischen Infrastrukturen, zu denen der Luftverkehr gehört. Die neuen Vorschriften sind auch für die Schweiz relevant, weil sie explizit Lieferketten und Partnerfirmen (Supply Chain) einbeziehen.
Festzuhalten bleibt, dass die NIS-2-Richtlinie bei Verstössen empfindliche Strafen und Bussgelder vorsieht, die sowohl die Unternehmen selbst als auch deren Geschäftsverantwortliche betreffen können.
Der ENISA-Bericht «Emerging Threats 2030» stellte fest, dass «die Kompromittierung von Software-Abhängigkeiten in der Lieferkette» weiterhin eine der wichtigsten neuen Bedrohungen darstelle. Die zunehmende Integration von Drittanbietern und Partnern in die Lieferkette führe zu neuen Angriffsmöglichkeiten.
Was lernen wir aus dem jüngsten Vorfall?
Die britische Beratungsfirma Cyber Management Alliance (CMA) hält in einem aktuellen Blogbeitrag fest, der Cyberangriff habe mehrere schwerwiegende Schwachstellen im Luftfahrtsektor aufgedeckt:
- «Übermässige Abhängigkeit von Anbietern»: Der Ausfall einer Softwarefirma betreffe die ganze Branche.
- «Sicherheit und Vertrauen der Passagiere gefährdet»: Solche Störungen verursachen Ärger, Verspätungen und Reputationsschäden, die auch nach der Wiederherstellung der Systeme anhalten können.
- Es brauche «Resilienz und Redundanz»: Manuelle «Fallback»-Systeme seien für die Luftfahrtbranche unverzichtbar. Eine reine digitale Abhängigkeit führe garantiert wieder in die Katastrophe.
Ausserdem bedeute eine Ransomware-Attacke nicht nur kurzfristige Störungen des Betriebs, sondern auch einen potenziellen langfristigen Schaden. Sollte es den Hackern gelungen sein, sich unbemerkt im fremden System zu bewegen, könnte es auch einen Datendiebstahl mit anschliessender Erpressung geben.
Die Möglichkeit, dass die Cyberkriminellen mit der Veröffentlichung sensibler Daten drohen und die Zahlung eines Lösegelds verlangen, könne die negativen Folgen des Vorfalles weiter verstärken.
Der litauische IT-Sicherheitsforscher und White-Hat-Hacker Mantas Sabeckis kommentiert in einer Stellungnahme, die watson vorliegt:
Die Lektion hier ist, dass es nicht ausreicht, nur die eigenen Computer und Firewalls zu verstärken. Echter Schutz bedeutet, jeden Teil der Lieferkette genau im Auge zu behalten.»
Ob die Ermittlungen der Strafverfolgungsbehörden rechtliche und regulatorische Konsequenzen für die betroffenen Institutionen haben, wird sich zeigen.
Quellen
- dw.com: European airports disruption due to ransomware – EU agency (22. Sept.)
- ibtimes.co.uk: The Software Behind Europe's Check-In Chaos — What Is Muse, and Why It Matters?
- Medienmitteilung von Cybernews: Schriftliche Einschätzung der IT-Sicherheitsexpertin Mantas Sabeckis zum Vorfall
