Wenn Sie das nächste Mal langsam durch den Gang eines Flugzeugs schlendern, denken Sie an die unglaubliche Arbeit, die Sie dorthin gebracht hat – von der Luftfahrttechnik bis hin zu den Betreibern, die zu jeder Zeit über 5,000 Flugzeuge in der Luft halten. Die Luftfahrtindustrie steht vor unglaublichen Herausforderungen.

In den letzten Jahrzehnten mussten sie sich mit einer weiteren Bedrohung auseinandersetzen: Cybersicherheitsbedrohungen. Letzten Monat haben wir einige Beispiele dafür gesehen, was passiert, wenn Eindringlinge in ihre Systeme eindringen.

Drei Cyberangriffe in einem Monat

Anfang Juni bemerkte Westjet, eine der beliebtesten Fluggesellschaften Kanadas, erstmals, dass mit ihren Systemen etwas nicht stimmte. Das Unternehmen war von einem Cyberangriff betroffen, der Nutzer daran hinderte, sich auf der Website und der mobilen App anzumelden.

Westjet reagierte schnell auf das Problem, wie es auf seiner Beratungsseite in den nächsten Tagen. Dies war jedoch kein Einzelfall. Die Fluggesellschaft war eine von drei, die Opfer von Angriffen wurden. Auch Qantas und Hawaiian Airlines waren betroffen.

Hawaiian Airlines entdeckte seinen eigenen Verstoß am 23. Juni und gab ihn drei Tage später über eine knappe Nachricht auf seiner Website. Der Flugplan sei betriebsbereit und die Reise der Gäste sei nicht beeinträchtigt, hieß es.

Dann war Australien an der Reihe. Die australische Fluggesellschaft Qantas beobachtete ungewöhnliche Aktivitäten auf einer Drittanbieterplattform, die von ihrem Kontaktcenter genutzt wurde. Dem Angreifer gelang es, Namen, Adressen, Telefonnummern, Geburtsdaten und Vielfliegernummern von Kunden zu stehlen.

Am 2. Juli angegeben Man habe Servicedaten von sechs Millionen Kunden auf der Plattform und erwarte, dass der Anteil der gestohlenen Daten „erheblich“ sei. Mit Zahlungsinformationen seien die Diebe jedoch nicht davongekommen, hieß es weiter.

Diese Angriffe scheinen koordiniert zu sein. Scattered Spider, die Bedrohungsgruppe, die auch für Angriffe auf das MGM Grand Casino verantwortlich sein soll, und in jüngerer Zeit Marks & Spencer, hatte seine Aufmerksamkeit auf den Luftfahrtsektor gerichtet, warnte das FBI.

Laut dem Bureau manipuliert die kriminelle Gruppe Mitarbeiterkonten, indem sie Helpdesks aufsucht und sich als Mitarbeiter oder Auftragnehmer ausgibt. Sie überzeugt die Betreiber, ihnen Kontozugriff zu gewähren. Anschließend überzeugt sie diese Betreiber häufig, den Konten MFA-Zugriff zu gewähren und so die legitimen Benutzer auszusperren. Quellen zufolge scheinen die Angriffe auf die Fluggesellschaften von dieser Gruppe durchgeführt worden zu sein.

Ein Jahrzehnt digitaler Turbulenzen

Dies ist nicht das erste Mal, dass eine Fluggesellschaft Opfer eines Cyberangriffs wurde. 2015 war die polnische Fluggesellschaft LOT einen DDoS-Angriff erleiden Dies verhinderte die Veröffentlichung der Flugpläne, sodass 1,400 Passagiere gestrandet waren und 20 Flüge gestrichen wurden.

Drei Jahre später griffen Angreifer bei British Airways ein, indem sie ein BA-Netzwerkkonto eines Mitarbeiters des Frachtunternehmens Swissport kompromittierten. Fehlende MFA ermöglichte es den Angreifern, das Konto zu kompromittieren und eine Schwachstelle in Citrix auszunutzen, um Zugriff auf das gesamte BA-Netzwerk zu erhalten. Von dort aus griffen sie auf die Anmeldeinformationen eines Windows-Domänenadministratorkontos zu, das im Klartext gespeichert war. Der Angreifer, Magecart, platzierte JavaScript auf der Website der Fluggesellschaft und Tisch die Zahlungskartendaten von 380,000 Kunden. BA kam mit einer Geldstrafe von 20 Millionen Pfund davon, die von 183 Millionen Pfund reduziert wurde.

Vorfälle wie diese kommen so häufig vor, dass sie die Luftfahrtindustrie in Verruf bringen. Das Sicherheitsmanagement-Softwareunternehmen Security Scorecard gibt Der Sektor erhielt in Sachen Cybersicherheit die Note „B“. Das sei zwar keine schlechte Note, so die Organisation, aber die Wahrscheinlichkeit eines Sicherheitsverstoßes sei dadurch für Unternehmen in diesem Sektor fast dreimal höher als für Unternehmen in den mit „A“ bewerteten Sektoren.

Regulierungsbehörden nehmen Notiz

Kein Wunder, denn die Angriffsfläche für die meisten Fluggesellschaften ist riesig. Nicht nur Verwaltungssysteme sind Zielscheibe. Auch operative Systeme – von der Flughafenausrüstung bis zur Bordausrüstung – sind gefährdet.

Die meisten Datenschutzverletzungen im Flugverkehr sind administrativer Natur und betreffen Passagier- und Zahlungsinformationen und nicht die Flugzeuge selbst. Die Lage wäre jedoch weitaus schwerwiegender, wenn jemand die Betriebstechnologie von Flugzeugen während des Fluges angreifen würde. Bisher handelte es sich bei solchen Hacks meist um Proof-of-Concept-Tests. Die Aufsichtsbehörden ergreifen jedoch weiterhin Präventivmaßnahmen. Die FAA vorgeschlagenen neuen Regeln im letzten Jahr zum Schutz der Flugzeugsysteme.

Die US-Transportation Security Administration (TSA) auferlegten neue Cybersicherheitsvorschriften für Flughafen- und Flugzeugbetreiber im Jahr 2023, einschließlich Anforderungen an die Netzwerksegmentierung. Die EU veröffentlicht die Durchführungsverordnung (EU) 2023/203 (Teil-IS) im Oktober 2022, die Regeln für die Identifizierung und das Management von Sicherheitsrisiken in Luftfahrtunternehmen festlegt. Sie tritt noch in diesem Jahr in Kraft.

Aufbau eines widerstandsfähigen Flugbetriebs

Was können Luftfahrtunternehmen tun, um sich vor wachsenden Cyberrisiken zu schützen? Obwohl die Regulierungsstandards branchenspezifisch sind, haben sich die Regulierungsbehörden in einigen Fällen bemüht, Überschneidungen mit ISO 27001. Auch wenn Organisationen der Luftfahrtindustrie möglicherweise zusätzliche Arbeit leisten müssen, um die spezifischen Anforderungen der Flugsicherheit zu erfüllen, die in Teil-IS dargelegt sind, sind diese dennoch „konsistent und ausgerichtet auf ISO-IEC 27001" nach die EU-Agentur für Flugsicherheit (EASA).

Die Sicherheitsmaßnahmen, die Fluggesellschaften ergreifen müssen, sind kein Hexenwerk. Die TSA konzentriert sich auf Netzwerksegmentierungsrichtlinien und Zugriffskontrollen, um Eindringlinge am Eindringen in Ihr Netzwerk zu hindern. Auch Aufforderungen zum Patchen von Software werden angezeigt. Solche Empfehlungen sind auf Langstreckenflügen sogar häufiger anzutreffen als Warteschlangen vor den Toiletten.

Ähnlich wie das Rauchverbot im Flugzeug ist die Einführung guter Cybersicherheitspraktiken in Luftfahrtnetzwerken unverzichtbar. Der Diebstahl von Passagierdaten ist schon schlimm genug, doch ohne wirksamen Schutz könnten die Folgen eines gezielteren Angriffs eines Betreibers, der nicht nur Profit treibt, weitaus schlimmer sein.