Im Juni 2015 konnte die polnische Fluggesellschaft LOT Cyberangriffe auf ihre Flugplanungscomputer identifizieren die für eine Störung an ihrem Drehkreuz in Warschau Chopin gesorgt haben. Zwei Jahre zuvor wurde berichtet, dass ähnliche Attacken die Passkontrollsysteme in den Abflugterminals an den Airports Istanbul Atatürk und Sabiha Gökçen, die lange Wartezeiten und Flugverzögerungen verursachten, lahmgelegt hatten. Dies sind bei weitem keine Einzelfälle.

Es gibt weitere Berichte über Angriffe auf die Branche. Das Zentrum für Internet-Sicherheit (CIS) kommt zu dem Ergebnis, dass 75 US-Flughäfen von einem Cyber-Angriff im Jahr 2013 betroffen waren, darunter zwei, wo die Computersysteme kompromittiert wurden. Zu ähnlichen Ergebnissen kam Symantec, eines der führenden Cybersecurity-Unternehmen, im Rahmen seines Internet Security Threat Report. In diesem Bericht warnen sie von einer Rekordmarke von neun Mega-Sicherheitslücken, die Luftfahrtindustrie gehört demnach zu einer der fünf meist betroffenen Branchen. Ganz genau kann man das jedoch nicht sagen, da viele Angriffe gar nicht entdeckt werden.

Keine einfachen Lösungen
Es gibt wahrscheinlich noch viel mehr Attacken. Nur wenige Luftfahrtunternehmen geben offen zu, gehackt worden zu sein. Aus Sorge, dadurch das öffentliche Vertrauen zu verlieren. Dies erschwert jedoch das Sammeln von Informationen immens. Selbst Branchenkenner arbeiten weitgehend im Dunkeln und kennen die wahre Größe des Problems nicht. Was klar wird, ist, dass es keine einfachen Lösungen für das Problem gibt. Im Gegenteil wird sich die Situation noch verschärfen. Das Internet der Dinge treibt den Einsatz verbundener Technologien und somit die Verbreitung von Schnittstellen und Endpunkten, die genutzt werden können, voran. Jede digitale Verbindung bietet im Prinzip einen Angriffspunkt für Cyberkriminelle. Je vernetzter die Luftfahrtindustrie wird, desto anfälliger wird sie in der Folge auch für Attacken.

Die Komplexität derartiger Angriffe – so groß, so regelmäßig und so hoch skaliert – machen deutlich, dass der ausführende Mensch kaum noch in der Lage sein wird, diesem Risiko Herr zu werden. Denn es stellt sich nicht die Frage, ob man von einem Cyber-Angriff betroffen sein wird, sondern wann. Zu diesem Ergebnis kommt das Aviation Information Sharing and Analysis Center (A-ISAC). Das Zentrum ist eine gemeinnützige, mitgliedsorientierte Organisation für den Austausch von Sicherheitsinformationen im Luftverkehrssektor und wurde im September 2014 von sieben großen Luftfahrtunternehmen gegründet.

Die A-ISAC sammelt Bedrohungen, Anfälligkeiten und Informationen über Sicherheitsrisiken für die Luftfahrt weltweit. Zu den Informationsquellen gehören Mitglieder, Regierungsstellen, akademische Zirkel, Open Source und andere vertrauenswürdige Quellen. Ziel ist es, die Informationen in einer zeitnahen, umsetzbare Weise zu teilen, sowie Aufbau einer Gruppe sachverständiger Experten, die Techniken zu deren wirksamen Bekämpfung erarbeiten können.

Ein Umdenken in der Branche findet statt
Auf Unternehmensebene wiederum gibt es ermutigende Anzeichen dafür, dass Unternehmen ihre Bemühungen zur Bewältigung dieses Problems verstärken. Die jüngste Airline IT-Trends-Studie von SITA zeigt, dass Cyber-Sicherheit bei 63% der Fluggesellschaften ein Vorstandsthema ist, während 72% der Airlines in den nächsten drei Jahren große Cyber-Sicherheitsprojekte planen.

Es gibt auch noch andere, bereits laufende Brancheninitiativen. Erst im vergangenen Jahr hat Airports Council International (ACI) eine Task Force Cybersecurity eingerichtet, um einen Community-Ansatz für Flughäfen zu entwickeln. Mittlerweile bemüht sich die International Air Transport Association (IATA), die Cyberverteidigung von Fluggesellschaften mit einem Security Tool Kit zu unterstützen, das Schulungsvideos, ein Risikoanalyse-Tool und andere Ressourcen umfasst.

Die Industrie darf allerdings nicht isoliert arbeiten, wenn sie eine konzertierte Antwort auf die Cyber-Sicherheitsfrage liefern soll. Die Flughafengemeinschaft muss mit den Regierungen zusammenarbeiten.

Zusammenarbeit mit Regierungen
Dieser Auffassung sind auch viele Fluggesellschaften sowie die IATA. Das Thema Cyber-Sicherheit kann am besten durch eine stärkere Zusammenarbeit zwischen den Regierungen und wichtigen Akteuren der Wirtschaft behandelt werden. Es gibt Anzeichen dafür, dass dies bereits heute geschieht. In den USA ist die Federal Aviation Administration (FAA) von der Regierung mit der Entwicklung von Vorschriften über die Cyber-Sicherheit beauftragt worden, einschließlich der obligatorischen Meldung von Vorfällen.

Auf internationaler Ebene könnte ein stärker koordiniertes Regierungskonzept im Jahr 2017 beginnen, wenn Luftfahrtverbände wie die IATA eine Erklärung zur Cyber-Sicherheit der Flugsicherheitsorganisation der Vereinten Nationen vorlegen.

Das Fehlen einer internationalen Aufsicht im Bereich der Cybersicherheit ist ein weiteres Problem. Niemand fühlt sich für die Koordinierung entsprechender Bemühungen verantwortlich. Es gibt schließlich keinen einzelnen Besitzer, keinen Regulator, dieser Thematik. Nichtsdestotrotz besteht ein starker Konsens darüber, dass, um eine gut-orchestrierte Cyber-Sicherheitsrisiko- und Abschwächungsstrategie zusammenzubringen, die Industrie einen Weg finden muss, zusammen zu kommen, wenn sie sich in die richtige Richtung bewegen will. SITA beteiligt sich mit seinen Mitgliedern und anderen Industriepartnern daran, dieses Ziel zu unterstützen.

Quelle: Gastartikel SITA