US-Behörde: Neueste US-Waffensysteme sind "leicht zu hacken"

Automatisierung und Konnektivität machen Waffensysteme anfällig für Cyber-Angriffe. Diese etwas banal scheinende Erkenntnis ist beim Verteidigungsministerium der USA nicht wirklich angekommen.
 
Diesen Schluss darf man aus dem Bericht "Weapon Systems Cybersecurity" der US-Regierung ziehen, der soeben publiziert wurde. "Obwohl seit Jahrzehnten vor Cyber-Risiken gewarnt wird, hat das Verteidigungsministerium bis vor kurzem der Cybersicherheit der Waffensysteme keine Priorität eingeräumt," bilanzieren die Autoren.
 
Einige der modernsten Waffen im militärischen Arsenal der USA können mit simplen Tools "leicht gehackt" werden, stellt der Bericht fest. Diese Lücken seien "Mission Critical" und sind bei der grossen Mehrheit der zwischen 2012 und 2017 untersuchten Systeme anzutreffen. Speziell genannt werden die US-Raketenabwehr und das modernste F-35-Tarnkappen-Kampflugzeug der US-Armee.
 
Die wichtigsten Ergebnisse des Berichts zeigen einen verblüffend laienhaften Umgang mit Cybersecurity:
  1. Das Pentagon änderte die Standardpasswörter für mehrere untersuchte Waffensysteme nicht. Im Internet fanden die Tester diese Passwörter und erlangten damit Admin-Rechte.
  2. Ein geändertes Passwort wurde von den Testern in neun Sekunden richtig erraten.
  3. Mehrere Testteams meldeten, dass sie mit öffentlich verfügbaren Informationen oder im Internet heruntergeladener Software die Security von Waffensystemen ausschalten konnten.
  4. Ein Test-Team konnte "leicht" die Kontrolle über ein Waffensystem erlangen und in Echtzeit beobachten, wie die Betreiber auf die Hacker reagierten.
  5. Ein weiteres Zwei-Personen-Team brauchte nur eine Stunde, um Zugang zu einem Waffensystem zu erhalten und einen Tag, um die volle Kontrolle zu erlangen.
  6. Viele der Testteams konnten Systemdaten kopieren, ändern oder löschen, wobei ein Team 100 Gigabyte Daten herunterladen konnte, ohne erwischt zu werden.
  7. Wo es rollenbasierte Zugriffsrechte auf die Soft- oder Hardware gab, da war die interne Kommunikation offenherzig: "Ein normaler User konnte Benutzernamen und Passwort eines Administrators lesen" und mit diesen Credentials seinen Systemzugriff entsprechend erweitern.
  8. Mindestens zehn früher entdeckte Lücken wurden nicht geschlossen. Warum diese nicht geschlossen wurden, konnten die Verantwortlichen nicht erklären. Schuld sei ein externer Contractor.
  9. Logfiles über Systemaktivitäten wurden teilweise gemacht, aber niemand kontrollierte diese.
Die Untersuchungsbehörde ergänzt, dass das Pentagon "das volle Ausmass seiner Schwachstellen im Waffensystem nicht kennt". Das liegt auch daran, dass kein Regierungsvertreter Zugriff auf gewisse proprietäre Lösungen habe und auch die Regierungs-Tester nichts testen konnten. Das Grundproblem scheint aber: "Das Verteidigungsministerium bestimmt immer noch selbst, wie die Cybersicherheit von Waffensystemen am besten zu behandeln ist". Viele Armeeverantwortliche zeigten sich laut Bericht denn auch überzeugt, dass ihre Waffensysteme vor Hackern sicher seien.
 
Das Verteidigungsministerium habe nun begonnen, Verbesserungen bei Produkten und Prozessen vorzunehmen, um die Security zu erhöhen. So will man nun Lücken in den milliardenteuren Systemen mit geänderten Passworten und Software-Updates schliessen. Konkrete Empfehlungen gibt die Untersuchungsbehörde selbst keine ab. Man werde vorerst weitere Untersuchungen durchführen.
 
Der 50-seitige Bericht ist als PDF verfügbar. (Marcel Gamma)