Es fällt schwer, sich einen Ort vorzustellen, der weiter vom Krieg in der Ukraine entfernt ist als das Mandalay Bay Resort in Las Vegas. Der riesige Hotel- und Casinokomplex am südlichen Ende des berühmten Strip ist die Kulisse für die 25. Black Hat , eine Konferenz rund um das Thema IT-Sicherheit. Draußen planschen Gäste in der künstlichen Lagune, drinnen, zwischen endlosen Reihen von Spielautomaten und einem überdimensionierten Aquarium mit Haien, treffen sich Experten aus 111 Ländern zu Vorträgen in amerikanisch-pompösen Ballsälen.

Doch als Robert Lipovsky und Anton Cherepanov von der slowakischen IT-Sicherheitsfirma Eset ihren Stargast vorstellen, ist die Ukraine praktisch zum Greifen nahe: Viktor Zhora ist nach Las Vegas gekommen, der stellvertretende Chef der ukrainischen IT-Sicherheitsbehörde.

Zhora erzählt, er müsse seit Ende Februar so viele Hackerangriffe abwehren wie nie zuvor. Einer davon hätte bis zu zwei Millionen Bürgerinnen und Bürgern den Strom abstellen können – wenn er erfolgreich gewesen wäre. Dass er es nicht war, ist einerseits beruhigend: Ein Blackout lässt sich offenbar nicht mal eben herbeihacken. Andererseits ist es beunruhigend, welchen Aufwand eine mutmaßlich staatliche Hackereinheit für ihren Versuch betrieben hat.

Die Täter drangen mindestens eine Woche vor Kriegsbeginn ein

Eset und andere machen die Gruppe Sandworm für den Angriff verantwortlich, eine Hackergruppe, die dem russischen Militärgeheimdienst GRU zugeordnet wird. So genannt wird sie, weil in früheren Codeschnipseln von ihr mehrere Verweise auf Frank Herberts »Dune« zu finden waren.

Sandworm sabotierte bereits 2015 und 2016 die ukrainische Stromversorgung, beim ersten Mal für etwa sechs Stunden, beim zweiten Mal nur für eine. 230.000 beziehungsweise 700.000 Ukrainer waren daraufhin zeitweise ohne Strom. Die Attacken alarmierten damals Sicherheitsexperten weltweit.

Der dritte Versuch fand am Freitagabend, den 8. April 2022, statt. Doch vorbereitet wurde er mindestens eine Woche vor Beginn des russischen Überfalls, nämlich spätestens am 17. Februar, sagt Zhora.

Er geht davon aus, dass an jenem Tag – oder noch früher – auf eine bis heute nicht bekannte Weise ein regionaler ukrainischer Stromversorger kompromittiert wurde. Es folgte eine mehrwöchige Phase des Auskundschaftens. Anschließend breiteten sich die Hacker im Netzwerk des Versorgers von der IT in die OT (Operational Technology) aus, also die Steuerungstechnik.

Die eigentliche Schadsoftware basiert nach den Erkenntnissen von Eset und der US-Firma Mandiant  auf jener, die 2016 zum Einsatz kam und Industroyer getauft wurde. Das sei »die erste Malware gewesen, die speziell dafür entwickelt wurde, die Energieversorgung anzugreifen«, sagt Lipovsky.

Angriffe auf die Stromversorgung sind hochkomplex

Entsprechend nennt Eset die Weiterentwicklung, die dieses Jahr zum Einsatz kam, Industroyer2. Und obwohl viele Details des Angriffs im April auch jetzt noch ungeklärt sind, zeigen Industroyer2 und die Vorgängerversion, wie komplex es ist, industrielle Steuerungssysteme, wie etwa bei Energieversorgern, allein mit Schadcode physisch zu beschädigen.

So sollte auch die Attacke im Jahr 2016 in mehreren, aufwendigen Stufen ablaufen, wie die Eset-Forscher rekonstruieren konnten. Das Ziel der Täter war es demnach, zunächst den Strom in einem Umspannwerk abzuschalten, dann den Betreibern die Einsicht ins eigene System zu verwehren sowie das Kontrollsystem so zu manipulieren, dass es sich nicht mehr hochfahren lässt.

Doch der Angriff sollte noch heimtückischer werden: Denn im Anschluss wollten sie ein beim Stromversorger verbautes Relais der Firma Siemens manipulieren, das eigentlich dazu dient, bei Fehlern eine Schutzsicherung auszulösen. Dazu wollten sie das Relais mit einer präparierten Datei in einen Updatemodus versetzen, in dem es stecken bleibt. Beim Versuch der Betreiber, wegen des Hackingangriffs den Strom manuell wieder hochzufahren, sollte die Anlage beschädigt werden – weil eben jene von den Hackern manipulierte Sicherung nicht einspringt.

Ob Industroyer2 das genauso versuchen sollte, weiß Eset nicht. »Wir haben keine Beweise dafür gesehen«, sagt Lipovsky im Gespräch mit dem SPIEGEL. Was jedoch klar ist: Zusätzliche Schadprogramme, sogenannte Wiper, sollten die Spuren der Täter im Netzwerk dieses Mal verwischen, indem sie unter anderem Logdateien überschreiben und Laufwerke unbrauchbar machen. Solche Wiper sind eine wiederkehrende Hackerwaffe bei verschiedenen Angriffen auf ukrainische Ziele in den vergangenen Monaten.

Die mutmaßliche Gruppe hinter dem Angriff: Sandworm

Nötig waren für den Angriff tiefgehende Kenntnisse der Anlage und der Industriellen Kontrollsysteme (ICS), die dort eingesetzt werden. Entsprechend viele Ressourcen und Spezialisten brauchten die Täter. Geradezu »verstörend« findet Lipovsky den Aufwand, den die Täter betrieben haben, um sich in die Feinheiten der zugrunde liegenden Softwareprotokolle einzuarbeiten. Denn einfach googeln lassen die sich nicht.

Hat jemand diese Spezialkenntnisse, haben die Verteidiger ein grundsätzliches Problem: ICS wie die in dem ukrainischen Umspannwerk und die dazugehörigen Protokolle »wurden vor Jahrzehnten entwickelt, ohne auf Sicherheit zu achten«, sagt Lipovsky. Dementsprechend musste Sandworm keine bis dato unbekannte Sicherheitslücke in dem System ausnutzen. Im Gegenteil, Industroyer2, so drückt es der Eset-Forscher aus, »verwendet ein Protokoll genau so, wie es gedacht war«.