USA: Neue Waffensysteme können viel zu einfach gehackt werden

Das US-Verteidigungsministerium soll deutlich mehr Geld bekommen - auch um neu entwickelte Waffensysteme anschaffen zu können. Der Rechnungshof ist von der Idee aber nicht sonderlich begeistert, da dessen eigene Tests ergeben haben, dass sich die Systeme so leicht hacken lassen, dass man sie auch gleich einem möglichen Feind schenken könnte. Es geht um einen Betrag von 1,66 Billionen Dollar, die das Pentagon in den kommenden Jahren in die Modernisierung der Militär-Ausstattung investieren will. Da will man beim Government Accountability Office (GAO), das eine Verschwendung von Steuergeldern unterbinden soll, natürlich genau wissen, ob die geplanten Anschaffungen sinnvoll sind. Und weil man mit der Zeit geht, stellte man unter anderem ein Team von Hackern zusammen, die die neuen Systeme unter die Lupe nehmen sollten.

Und deren nun vorgelegter Bericht dürfte die Laune am Rechnungshof nicht gerade heben. "Unter Verwendung relativ einfacher Tools und Techniken waren die Tester in der Lage, die Kontrolle von Waffensystemen zu übernehmen und weitgehend unbemerkt zu agieren", hieß es. Grundlage für so manche Probleme sind dabei eigentlich die üblichen Ursachen, die auch aus diversen anderen Bereichen bekannt sind: Ein schlechtes Passwort-Management, unverschlüsselte Kommunikationswege und zu lange ungepatchte Sicherheitslücken. Nur eben mit dem Unterschied, dass es hier nicht um den Home-Router der Tante geht, sondern um extrem teure und auch gefährliche Waffensysteme.

Insert Coin!

"In einem Fall hat es ein Team aus zwei Leuten geschafft, binnen einer Stunde Zugang zu einem System zu bekommen, nach einem Tag hatten sie es dann komplett unter Kontrolle", hieß es. In anderen Fällen waren die Schutzmechanismen hingegen besser und Angreifer kamen zumindest von außen nicht hinein - das sah dann aber bei Attacken durch Insider wieder anders aus. Und wenn der erste Zugriff erst einmal möglich war, konnten beispielsweise leicht weitergehende Rechte erlangt werden.

Berichtet wird auch von erfolgreichen Test-Angriffen auf Terminals, die vermutlich zu Drohnen-Systemen gehörten. Bei diesen konnten die GAO-Hacker in Echtzeit mitverfolgen, was der Operator auf seinem Bildschirm zu sehen bekam - und sie nahmen direkt Manipulationen vor. "Ein anderes Team berichtete, dass sie Pop-Up-Nachrichten einblendeten und den Operator aufforderten, zwei Münzen einzuwerfen, um fortfahren zu können."

Bei einer ersten Konfrontation mit den Ergebnissen der Tester sollen Verantwortliche aus dem Pentagon darauf beharrt haben, dass ihre Systeme sicher seien und die Resultate unter ziemlich unrealistischen Bedingungen zustande gekommen seien. Bei der GAO räumte man in diesem Zusammenhang ein, dass es sich jeweils nicht um Waffensysteme handelte, deren Entwicklung offiziell abgeschlossen war. Aber es sollte bei der Anschaffung dann doch mehr Wert auf die IT-Sicherheit gelegt werden - denn sonst bestünde die Gefahr, dass man teure Ausrüstung anschafft, die dann im nächstbesten Moment übernommen und gegen die Bevölkerung der USA selbst eingesetzt wird.