Es ist Montag, 10 Uhr morgens. Der Nebel des Wochenendes hat sich endlich gelichtet. Angestellte und Arbeiter finden langsam in den Tagesrhythmus zurück, das Klappern ihrer Tastaturen vermischt sich mit dem leisen Rumpeln der Straßenbahnen, die Hunderte von Menschen unter den Bürofenstern hindurchbefördern. Die Stadt ist erwacht, in Bewegung, im Gange.
Dann kommt alles zum Stillstand.
Bildschirme werden schwarz. Tastaturen verstummen. Straßenbahnen kommen quietschend zum Stehen.
Die Handys werden gezückt. Es folgen Notfallmeldungen: Der lokale Stromversorger ist Opfer eines schweren Cyberangriffs geworden, der ein Drittel des Stromnetzes des Landkreises lahmgelegt hat. Voraussichtliche Wiederherstellungszeit? Nicht einmal das Cybersicherheitsteam des Betreibers weiß es. Die Steuerungssysteme sind lahmgelegt, und auch die Backups sind verloren gegangen. Mit einer stärkeren Isolierung (einschließlich Air-Gap) hätte das Ergebnis ganz anders aussehen können.
Kernpunkte dieses Artikels:
- Air-Gaps können kritische Systeme vor Angreifern schützen. Jedoch nur, wenn die Isolierung die realen Gegebenheiten konzipiert.
- Physische Air Gaps verringern das Risiko, machen ein System jedoch nicht unangreifbar.
- Stuxnet, TRITON und GoldenJackal zeigen, wie Angreifer kompromittierte Personen, bösartige USB-Sticks und schwache Prozesse nutzen, um Air Gaps zu überbrücken.
- Für kritische Infrastrukturen liegt der wahre Wert von Air-Gaps in der Kombination von Isolation mit sicheren Datenübertragungen, Offline-Schutz und getesteten Wiederherstellungsmaßnahmen.
Was ist ein Air-Gap in der Cybersicherheit?
Widmen wir uns erst einmal den Grundlagen: Was macht eine Air Gap (auf Deutsch: Luftspalt) und wie hilft er Akteuren in kritischen Sektoren?
Einfach ausgedrückt ist eine Air-Gap-Umgebung ein in sich geschlossenes Netzwerk von Geräten (z. B. PCs, Server, Betriebstechnik usw.), das physisch von externen Netzwerken isoliert ist. Das soll unbefugte Zugriff und Cyberangriffe verringern.
Stellen Sie sich zum Beispiel vor, Sie seien Verwaltungsleiter eines Krankenhauses in den USA, wo die HIPAA strenge Kontrollen für medizinische Daten vorschreibt. Um die Unverletzbarkeit solcher Datensätze zu gewährleisten, besteht die beste Kontrollmaßnahme darin, sie „außerhalb des Netzwerks“ zu platzieren – oder, mit anderen Worten, eine Trennschicht zwischen ihnen und der vernetzten IT einzufügen.
Die Auslagerung medizinischer Unterlagen aus dem Netzwerk soll sicherstellen, dass böswillige Zugriffe über mit dem Internet verbundene und für Angriffe anfällige IT-Geräte von vornherein ausgeschlossen werden und dass Angriffe keine Störungen verursachen, die zu einer unbeabsichtigten Offenlegung führen.
In vielerlei Hinsicht ähnelt das „Air Gapping“ dem Errichten einer „Umzäunung“, damit keine Daten nach außen gelangen. Dies lässt sich auf verschiedene Weise erreichen. Doch die wichtigste Methode besteht darin, das vom Air-Gap betroffene System vollständig vom Internet abzuschotten. Die andere Option besteht darin, nur den Teil des Netzwerks, der zu diesem System gehört, abzugrenzen. Dies bietet jedoch nicht die erforderliche Sicherheit.
Was ist Netzwerksegmentierung?Bei der Segmentierung werden Netzwerke in Zonen unterteilt (in der Regel durch Kontrollmechanismen wie Firewalls und sogenannte "demilitarisierte Zonen"), um den Datenverkehr zu regulieren und zu überwachen. Beim Air-Gapping hingegen wird diese Interaktion vollständig unterbunden, indem Systeme physisch voneinander getrennt werden.
Eine vollständige Isolierung ist jedoch nicht immer praktikabel. Kritische Systeme benötigen oft weiterhin einen kontrollierten Zugriff auf Daten, Updates oder eine zentrale Überwachung. So müssen beispielsweise Krankenakten autorisiertem Personal bei Bedarf zur Verfügung stehen, während ein Windpark nicht ohne Weiteres an eine zentrale Leitstelle berichten kann, wenn jeder Standort vollständig abgeschnitten ist.
Der Betrieb einer großen Organisation über mehrere vollständig voneinander getrennte Standorte und Systeme hinweg kann zudem kostspielig und betrieblich komplex werden. Insbesondere dann, wenn an jedem Standort qualifiziertes Fachpersonal benötigt wird.
Dennoch bietet das „Air Gapping“ eine wertvolle Sicherheitsebene, die je nach Umsetzung viele verschiedene Formen annehmen kann.
Air Gapping in kritischer Infrastruktur: Segen oder Herausforderung?
Bevor wir uns jedoch mit den verschiedenen Formen des Air Gapping befassen, wollen wir zunächst noch einmal auf die Einleitung zurückkommen, da diese nicht (nur) dazu dient, die Leser zu ködern. Eine ähnliche Situation hätte sich letztes Jahr in Polen beinahe ereignet, wo vermutlich mit Russland verbündete Angreifer (wahrscheinlich die APT-Gruppe „Sandworm“) mithilfe der DynoWiper-Malware beinahe einen Teil des Stromnetzes lahmgelegt hätten.
Es gibt viele Gründe, warum ein kritischer Akteur wie ein Kraftwerk seine Systeme „vernetzt“ haben möchte, da im modernen Zeitalter Vernetzung oft entscheidend für Produktivität und Effizienz ist:
- Hersteller und Energieunternehmen: Fabriken sind zunehmend miteinander vernetzt, angetrieben durch die Nachfrage nach verbessertem Überblick und Kontrolle. Dies hat zur weit verbreiteten Einführung des Fernmanagements im Bereich der Betriebstechnik (OT) geführt, sei es durch interne IT-Integration oder durch den Zugriff Dritter, was die betriebliche Flexibilität erweitert, aber auch zusätzliche Angriffsflächen schafft. Dies gilt umso mehr für den Energiesektor aufgrund seines größeren Umfangs und seiner Komplexität.
- Verkehr: Bahnsysteme, einschließlich Signal- und Steuerungstechnik, sind nicht nur aus betrieblichen Gründen vernetzt – auch Sicherheitsaspekte spielen eine Rolle. Dies gilt auch für die Schifffahrtsindustrie, wo Containerkräne, Terminalbetriebssysteme und andere Systeme entweder automatisiert sind oder über IT effektiv überwacht und integriert werden. Dies trifft auch für Verkehrssysteme (z. B. Autobahnüberwachung, Tunnelsteuerungen usw.) zu.
- Städte und Versorgungsunternehmen: Je intelligenter unsere Städte werden, desto anfälliger sind sie. Öffentliche Infrastruktur (Versorgungsunternehmen), Umweltsysteme (Hochwasserschutz) und Überwachung (CCTV-Kameras) werden mittlerweile ebenfalls zentral verwaltet und sind aus der Ferne zugänglich, wodurch die Isolation, auf die sie sich einst stützten, untergraben wird.
- IKT-Dienste: Da die Regulierungsbehörden ihr Augenmerk zunehmend auf Angriffe auf die Lieferkette richten, rückt die Anfälligkeit von IT-Dienstleistern in den Fokus. Die Vernetzung von IKT-Diensten mit kritischen Akteuren macht diese angreifbar und lässt sie potenziell als Ausgangspunkt für Angriffe dienen.
Natürlich lassen sich diese Umgebungen absichern, beispielsweise durch die Trennung von SPS (speicherprogrammierbaren Steuerungen) und zugehörigen Geräten vom Internet. Hier helfen streng kontrollierte interne Netzwerke für Systeme wie Weichenanlagen oder die vollständige Isolierung kritischer Anlagen, z. B.der Wiederherstellungsinfrastruktur.
Physische Air Gaps
Lassen wir die Segmentierung einmal beiseite und betrachten wir physische "Luftspalten" und deren Funktionsweise.
Das Prinzip ist einfach: Ein Gerät oder Netzwerk wird physisch von externen Netzwerken, einschließlich des Internets, getrennt. Es besteht keine Netzwerkverbindung über diese Grenze hinweg. Jeglicher Datentransfer muss manuell und unter menschlicher Kontrolle erfolgen.
Das bedeutet nicht, dass jedes Gerät innerhalb der physischen Luftspalte isoliert betrieben werden muss. Computer, Server und industrielle Anlagen können weiterhin innerhalb eines isolierten Netzwerks kommunizieren. Wichtig ist, dass dieses Netzwerk keine kabelgebundene oder kabellose Verbindung nach außen hat.
Beispielsweise möchte ein Unternehmen eine Operational-Technology-Umgebung (OT) von der Unternehmens-IT trennen. Kappt man die Netzwerkverbindung, verringert sich das Risiko von Angriffen, die von außerhalb der isolierten Umgebung stammen. Dies verändert jedoch auch die Art und Weise, wie diese Umgebung gewartet wird: Updates, Dateien und Sicherheitsinformationen müssten nun über kontrollierte Offline-Übertragungsprozesse bereitgestellt werden, anstatt eine aktive externe Verbindung nutzen zu können. Auch die Überwachung und der Schutz müssen diesen getrennten Zuständen Rechnung tragen.
Der Kompromiss für eine stärkere Isolierung ist daher eine bewusstere, wenn nicht sogar mühsame Wartung. Und obwohl die Entfernung externer Verbindungen eine erhebliche Barriere darstellt, gewährleistet sie keine vollständige Sicherheit.
Können Air-Gapped-Systeme gehackt werden?
Eine Isolation kann versagen. Air-Gapped-Systeme können nicht vollständig von menschlicher Aktivität (einem wichtigen Vektor für Cyberangriffe) abgeschottet werden. Selbst physisch getrennte Umgebungen benötigen oft Updates, Dateien oder Wartungsdaten, die zwischen den Systemen ausgetauscht werden müssen. Dieser Übertragungspunkt – sei es ein USB-Stick, ein vertrauenswürdiger Auftragnehmer oder ein kontrollierter Prozess – kann die Brücke für Angreifer auf Systeme sein, insbesondere wenn Social Engineering im Spiel ist.
Ein gutes Beispiel ist der Urvater aller OT-Angriffe, Stuxnet, der 2010 die Welt schockierte, als er gegen eine Atomanlage eingesetzt wurde. Obwohl man davon ausging, dass die Anlage vollständig isoliert war, war sie dennoch auf kontrollierte Datenübertragungsmechanismen angewiesen. Die Angreifer nutzten bösartige USB-Sticks und vertrauenswürdige Auftragnehmer, um das Air-Gap zu überbrücken. Einmal im System, verbreitete sich die Malware lateral über verschiedene Systeme und programmierte industrielle Steuerungen um, während sie ihre Aktivitäten gleichzeitig verschleierte.
Man könnte argumentieren, dass eine Kompromittierung über USB nicht streng genommen eine Folge teilweiser Air-Gaps ist, sondern von Air-Gap-Umgebungen im Allgemeinen. Selbst vollständig isolierte Systeme sind in der Regel für die Datenübertragung auf Wechselmedien angewiesen.
Erst sieben Jahre später, im Jahr 2017, wurde TRITON gegen sicherheitsgerichtete Systeme in einem petrochemischen Werk eingesetzt. Dabei wurden Schwachstellen in der IT-OT-Segmentierung (unzureichende Isolierung) ausgenutzt und eine Engineering-Station innerhalb des Sicherheitssystems kompromittiert. Von dort aus verschaffte sich TRITON über eine Hintertür Zugang zur SPS und verschaffte den Angreifern so die Kontrolle darüber. Dieser Angriff schlug jedoch letztendlich fehl, da die Systeme heruntergefahren wurden, bevor die Angreifer ihr Ziel erreichen konnten.
In beiden Fällen versagte die Isolierung. Halbherzige Maßnahmen sind in kritischen Sektoren nicht akzeptabel. Jede Lücke – selbst physische – kann mit der richtigen Taktik ausgenutzt werden.
ESET Research: Der Fall „GoldenJackal“ – Überbrückung von Air-Gaps
Auch ESET hat dazu beigetragen, … nun ja, Lücken in Air-Gaps aufzudecken. Im Jahr 2024 berichteten ESET-Forscher über eine Reihe von Angriffen der APT-Gruppe „GoldenJackal“ auf Regierungsorganisationen in Europa, bei denen Tools zum Einsatz kamen, die auf Air-Gap-Systeme abzielen konnten. Diese Angriffe fanden im Jahr 2019 sowie zwischen Mai 2022 und März 2024 statt.
Das Kompromittieren eines durch ein Air-Gap isolierten Netzwerks ist sehr ressourcenintensiv, aber nicht unmöglich. Innerhalb von fünf Jahren gelang es GoldenJackal, mehrere Tool-Sets für diese Aufgabe zu entwickeln: GoldenDealer (zum Einschleusen von ausführbaren Dateien in Systeme über USB-Überwachung), GoldenHowl (eine modulare Backdoor) und GoldenRobo (ein Tool zum Sammeln und Exfiltrieren von Dateien).
Zunächst kompromittierte GoldenJackal ein mit dem Internet verbundenes System (wahrscheinlich über eine schädliche Datei). Diese Datei enthielt GoldenDealer, das sich selbst auf USB-Sticks repliziert. Wenn ein solcher kompromittierter Stick in einer Air-Gapped-Umgebung verwendet wurde, wurde das Schadprogramm ausgeführt, und GoldenDealer sammelte Informationen vom PC. Wurde der Stick erneut an einen mit dem Internet verbundenen Computer angeschlossen, kommunizierte das Programm mit einem C2-Server, um weitere ausführbare Dateien abzurufen. Beim nächsten Einstecken in ein isoliertes Gerät führte GoldenDealer diese neuen Programme eigenständig aus.
Wie wahrscheinlich ist es, dass ein USB-Stick zwischen isolierten und vernetzten Umgebungen hin- und herwandert? Wenn Ihre Air-Gapped-Geräte auf physisch verteilte Updates angewiesen sind (beispielsweise über USB-Anschlüsse), steigt die Wahrscheinlichkeit, dass ein solcher Stick zur Überbrückung des Air-Gaps verwendet wird, erheblich.
Weitere Aktivitäten von GoldenJackal zur Überwindung der Luftspaltsicherung
Im Mai 2022 beobachtete ESET, wie GoldenJackal eine Regierungsorganisation in Europa ins Visier nahm. Das Toolset stützte sich weiterhin auf USB-Sticks, um Dateien zu sammeln, Payloads zu verbreiten und Dateien zu exfiltrieren. Dabei wurden einige PCs im Netzwerk der Organisation als Server genutzt, um Dateien an andere Systeme zu übermitteln, während gleichzeitig Impacket eingesetzt wurde, um den Angreifern die laterale Bewegung im Netzwerk zu erleichtern.
Während dieser Kampagne verfolgte GoldenJackal einen stark modularen Ansatz und setzte spezialisierte Komponenten für die Datenerfassung, Zwischenlagerung, Verteilung, Befehlsübermittlung und Exfiltration ein. Verschiedene kompromittierte Systeme konnten daher je nach ihrer Konnektivität und Position im Netzwerk unterschiedliche Teile der Operation unterstützen: Einige fungierten als lokale Zwischen- oder Verteilungspunkte, während mit dem Internet verbundene Rechner gesammelte Daten über Dienste wie Google Drive oder Outlook SMTP exfiltrieren konnten.
Diese Modularität gab den Angreifern die Flexibilität, mithilfe von Wechseldatenträgern einen mehrstufigen Pfad aufzubauen, um isolierte und vernetzte Umgebungen miteinander zu verbinden, ohne auf ein einziges, universell einsetzbares Implantat angewiesen zu sein.
Was bewirkt ein solcher modularer Ansatz? Flexibilität und potenziell auch Unauffälligkeit. Durch die Aufteilung des Vorgangs auf verschiedene Komponenten und Hosts können Angreifer die Aufgaben einzelner Rechner begrenzen, ihre Spuren auf einzelnen Systemen minimieren und ihr Toolset so anpassen, dass sie die spezifische Rolle jedes kompromittierten Geräts optimal nutzen. Ein solcher Ansatz macht böswillige Aktivitäten zwar nicht unsichtbar, kann ihre Erkennung jedoch erschweren – insbesondere in Umgebungen mit begrenzter interner Überwachung.
In diesem Zusammenhang ist ein „Air-Gap“ weniger eine undurchdringliche Barriere als vielmehr eine gewisse Entfernung. Fehlen der „Insel“ selbst starke interne Kontrollen, wird sie einfach zu einem abgelegeneren Netzwerk mit verzögerter Sichtbarkeit, was erklärt, warum modulare Ansätze wie der von GoldenJackal erfolgreich sein können.
Bewährte Verfahren für die Sicherheit durch Air-Gaps: Ein mehrschichtiger, offlinebasierter Ansatz
Zwar können Air-Gap-Umgebungen die Anfälligkeit für Cyberangriffe erheblich verringern, doch Isolation allein garantiert keine Sicherheit. Unternehmen müssen auch Risiken im Zusammenhang mit menschlichem Versagen, physischem Zugriff und kontrollierten Datenübertragungen berücksichtigen.
Daher sind Air-Gap-Systeme am effektivsten, wenn sie durch starke Betriebsprozesse und zusätzliche Sicherheitskontrollen unterstützt werden, wie zum Beispiel:
- Offline-Cyberschutz: Stellen Sie sicher, dass die Umgebung auch bei vollständiger Isolation ununterbrochene Sicherheit, Vertraulichkeit der Daten und Betriebskontinuität gewährleisten kann. Dies verringert die Abhängigkeit von externen Verbindungen und beseitigt die Anfälligkeit gegenüber netzwerkbasierten Bedrohungen.
- Lokale Bedrohungsanalyse: Analysieren Sie verdächtige oder unbekannte Dateien vor Ort, anstatt sie extern zu versenden. Dies verhindert, dass sensible Daten Ihre Umgebung verlassen, ermöglicht aber dennoch eine effektive Untersuchung von Bedrohungen.
- Sicherere Update-Mechanismen: Vermeiden Sie Ad-hoc-Methoden wie USB-Übertragungen oder vorübergehende, ungesicherte Verbindungen. Nutzen Sie stattdessen kontrollierte, speziell entwickelte Update-Prozesse, um Patches und Sicherheitsinformationen sicher und pünktlich bereitzustellen.
- Flexible Bereitstellung: Wählen Sie Lösungen, die in unterschiedlichen Umgebungen zuverlässig funktionieren – von privaten Netzwerken bis hin zu Air-Gapped-Systemen. Dies gewährleistet einen konsistenten Schutz und verringert das Risiko, dass Angreifer umgebungsspezifische Schwachstellen ausnutzen.
- Sicherer Umgang mit Daten: Selbst isolierte Systeme erfordern Backups oder gelegentliche Dateiübertragungen. Richten Sie streng kontrollierte Prozesse für die Übertragung und Verwaltung sensibler Daten ein. Dies verhindert Manipulationen, verringert das Risiko unbefugter Änderungen und gewährleistet das Vertrauen in die Integrität Ihrer Daten.
- Planung zur Einhaltung gesetzlicher Vorschriften: Bewahren Sie sensible Daten in isolierten Umgebungen auf und implementieren Sie strenge Kontrollen vor Ort wie Protokollierung, Überwachung und Berichterstellung. Dies vereinfacht die Einhaltung gesetzlicher Vorschriften, stärkt die Nachvollziehbarkeit und erfüllt die Anforderungen an die Datenhoheit.
Für Unternehmen mit komplexer Infrastruktur und strengen Isolationsanforderungen bieten die ESET PRIVATE Air-Gapped-Lösungen einen mehrschichtigen Schutz, der einen sicheren Betrieb selbst in den am stärksten eingeschränkten Umgebungen gewährleistet.
Vergessen Sie außerdem nicht, die Wiederherstellungsfunktionen regelmäßig zu testen. Viele Unternehmen nutzen Air-Gapped-Umgebungen zum Schutz von Backups. Backups sind jedoch nur dann von Nutzen, wenn sie bei Bedarf erfolgreich wiederhergestellt werden können. Regelmäßige Tests tragen dazu bei, dass Wiederherstellungspläne im Falle eines tatsächlichen Vorfalls funktionieren. Neben dieser Vorgehensweise sind auch Penetrationstests empfehlenswert, damit die „Abschottung“ bei einem simulierten Angriff so dicht ist, wie sie sein sollte.
Fazit
Unternehmen mit kritischer Infrastruktur stehen vor einem schwierigen Spagat. Eine stärkere Vernetzung ermöglicht zwar mehr Effizienz und Transparenz, schafft aber auch neue Angriffsmöglichkeiten für Angreifer. Air-Gapped-Umgebungen tragen dazu bei, dieses Risiko zu verringern, indem sie die Anbindung an externe Netzwerke begrenzen und potenzielle Angriffspfade einschränken. Wie Vorfälle in der Praxis jedoch gezeigt haben, können isolierte Systeme dennoch durch indirekte Methoden kompromittiert werden, beispielsweise durch Wechseldatenträger, Kompromittierungen in der Lieferkette oder Insideraktivitäten.
Dennoch bleiben Air-Gapped-Umgebungen, wenn sie bewusst als Teil einer mehrschichtigen Sicherheitskontrolle konzipiert werden, eine der wirksamsten Methoden, um systemische Risiken zu verringern, da sie Angreifer dazu zwingen, komplexere, ressourcenintensivere und letztlich leichter erkennbare Angriffspfade zu wählen.
Nächste Schritte zum Aufbau von Air-Gap-ResilienzEntdecken Sie sichere Bereitstellungsoptionen. Erfahren Sie im Gartner-Bericht „Europe Context: 2026 Magic Quadrant™ for Endpoint Protection“, wie ESET digitale Unabhängigkeit mit flexiblen Bereitstellungsoptionen, einschließlich Air-Gapped-Umgebungen, unterstützt.Bewerten Sie die Bereitschaft des öffentlichen Sektors. Sehen Sie sich die „SANS 2026 Government Readiness Survey“ an, um datengestützte Einblicke darüber zu gewinnen, wie sich Behörden auf die sich wandelnde Bedrohungslandschaft vorbereiten.Sprechen Sie mit einem Experten. Sprechen Sie mit einem ESET-Experten und erfahren Sie, wie Sie Ihre Cybersicherheitsbereitschaft in komplexen Ökosystemen beschleunigen können.
FAQ: Über Air Gaps
Was ist ein Air-Gap-System?
Ein Air-Gap-System ist ein Gerät, ein Netzwerk oder eine Umgebung, das bzw. die von externen Netzwerken, insbesondere dem Internet, isoliert ist, wodurch das Risiko eines unbefugten Zugriffs und eines daraus resultierenden Cyberangriffs verringert wird.
Wer sollte Air-Gaps einsetzen?
Betreiber kritischer Infrastrukturen, wie Energieversorger, Verkehrsunternehmen, Einrichtungen des Gesundheitswesens und Versorgungsunternehmen, nutzen Air-Gaps, um Betriebstechnologie (OT), Backups und sensible Daten vor Cyberbedrohungen zu schützen, die wesentliche Dienste stören könnten.
Können Hacker in Air-Gapped-Netzwerke eindringen?
Ja. Zwar sind Air-Gap-Umgebungen wesentlich schwerer zu kompromittieren, doch können Angreifer dennoch Methoden wie infizierte USB-Sticks, kompromittierte Auftragnehmer, Insider-Bedrohungen oder Angriffe auf die Lieferkette nutzen, um sich Zugang zu verschaffen. Das Durchbrechen eines Air-Gap-Netzwerks erfordert jedoch in der Regel mehr Zeit, Ressourcen und Raffinesse.
Ist das Air-Gapping im Zeitalter der Cloud und vernetzter Infrastrukturen noch relevant?
Auf jeden Fall. Da kritische Umgebungen immer stärker miteinander vernetzt sind, bleibt das Air-Gapping eine wertvolle Sicherheitsstrategie zum Schutz hochwertiger Ressourcen, Backup-Speicher und geschäftskritischer Systeme. Moderne Unternehmen sollten das Air-Gapping jedoch mit mehrschichtigen Sicherheitskontrollen kombinieren, nicht nur, um Ausfallsicherheit, Compliance und betriebliche Effizienz in Einklang zu bringen, sondern auch, um sicherzustellen, dass ein Air-Gap nicht als einzige Schutzmaßnahme herangezogen wird.
