Der Spion kommt aus der Luft

Keine Frage: Eine verlässliche Freigeländesicherung beginnt mit Mauern und Zaunsystemen, mit adäquater Video- sowie Tür- und Tortechnik. Doch gegen die Gefahr von oben helfen diese Massnahmen wenig. Immer öfter werden Unternehmen mit Drohnen aus der Luft angegriffen. Die unbemannten Flugobjekte nähern sich dem Gelände fürs blosse Auge kaum beziehungsweise nur sehr spät sichtbar. Der grosse Vorteil für die Cyberkriminellen: Sie kommen mit der Drohne näher an das interne Funknetz heran, dessen Reichweite normalweise nicht über das Betriebsgelände hinausgeht. Das kleine Fluggerät wird sozusagen zum verlängerten Arm – sei es auf das WLAN, auf kabellose Verbindungen zu Peripheriegeräten wie Tastaturen, auf IoT-Systeme, die per Funk kommunizieren, und natürlich auf kabellose Systeme zur Gebäudesteuerung. Einmal platziert in luftiger Höhe, können Drohnen dann beispielsweise die Kommunikation zwischen Industriesystemen und dem Manufacturing Execution System (MES) mitschneiden oder manipulieren. Sie können mittels hochauflösender Kamera durch das Bürofenster Bildschirme abfilmen oder die Eingabe von PIN-Codes bei Zugangssystemen erfassen. Angreifer können zudem USB-Sticks mit Malware auf dem Firmengelände fallen lassen. Die Chance oder besser gesagt die Gefahr, dass Mitarbeitende diesen USB-Stick mitnehmen und an einem Rechner einstecken, ist sehr hoch.

Interessantes zu entdecken gibt es auf praktisch jedem Betriebsgelände. Für manche Sparte ist die Spionage von oben zu einem richtigen Problem geworden: Wenn in der Automobilbranche ein Erlkönig auf die Teststrecke geschickt wird, landen Drohnenfotos schnell bei der Konkurrenz. Wie stark das Thema die Sicherheitsbranche beschäftigt, konnte man auch auf der letzten Ausgabe der Messe «Perimeter Protection» in Nürnberg sehen. Dort machten sich Fachleute aus Industrie, Verkehr, Energie und Freizeit eigentlich über Neuerungen rund um Zaunsysteme, Zutrittskontrollen und Videoüberwachung schlau. Erstmals widmeten die Messeveranstalter der Drohnenerkennung und -abwehr eine Sonderfläche.

Drohnen, die man bereits für ein paar Hundert Schweizer Franken bekommt, sind inzwischen zu einem Massenprodukt geworden: Sie sind klein, leicht zu bedienen, überaus leistungsfähig und je nach Propellermodell relativ leise. Auf einem geschäftigen Betriebsgelände werden die Geräusche nicht wahrgenommen. Selbst günstigere Drohnen verfügen meist über hochauflösende Kameras, die mit einer speziellen Vorrichtung befestigt sind, um trotz Turbulenzen in luftiger Höhe möglichst verwacklungsfreie Aufnahmen zu bekommen. Je nach Bauart können die unbemannten Flugobjektive darüber hinaus Nutzlasten bis zu zwei Kilogramm aufnehmen. Wird beispielsweise ein scheckkartengrosser Minirechner wie der Raspberry Pi mit Funkempfänger, Interfacekarte und entsprechender Software an die Drohne gepackt, können Kriminelle ohne Weiteres die Kommunikation einer drahtlos angebundenen Tastatur und damit die Eingabe von Passwörtern «abhören».

Diejenige Person, die eine Drohne betreibt, ist Nutzer des Luftraums und muss daher die geltenden luftrechtlichen Bestimmungen befolgen. Hat die Drohne eine Kamera an Bord, muss jederzeit die Privatsphäre anderer Personen respektiert und bei der Erfassung personenbezogener Daten die gesetzlich geltenden Vorschriften beachtet werden. In vereinzelten Ländern ist für Drohnen mit einem Gewicht von über zwei Kilogramm – inklusive Zuladung – zudem ein Drohnenführerschein verpflichtend. All diese Vorgaben werden allerdings keinen Hacker davon abhalten, die kleinen Fluggeräte als Angriffsobjekte einzusetzen.

Was können Unternehmen nun gegen die Bedrohung aus der Luft machen? Für das Erkennen und Identifizieren von Drohnen kommen akustische, optische und elektronische Verfahren zum Einsatz. Akustiksensoren erfassen die spezifischen Schallwellen, die jede Drohne emittiert, und werten diese aus. In einer nicht zu stark «lärmverschmutzten» Umgebung lassen sich damit die unbemannten Flugobjekte grob orten. Entsprechende Kamerasysteme arbeiten sowohl im sichtbaren Spektrum als auch im nahen Infrarotbereich. Mit entsprechender Bildauswertungs-Software sollen falsche Alarme, etwa verursacht durch einen vorbeifliegenden Vogel, vermieden werden. Kameras und Akustiksensoren decken aber nur vergleichsweise geringe Distanzen ab, sodass zwischen dem Eindringen in den Luftraum und dem Erkennen des Flugobjekts eine sehr kurze Zeitspanne verbleibt, um adäquate Gegenmassnahmen zu ergreifen. Für elektronische Erkennungsverfahren werden spezielle Antennen genutzt, die das Funkspektrum nach Signalen von Drohnen absuchen.

Detektieren ist der eine Aspekt in der Drohnenabwehr, der andere das Abfangen. Spezielle Störsender unterbinden die Kommunikation zwischen der Drohne sowie ihrem Piloten und zwingen das Flugobjekt damit zur Landung. Mit Lasertechnik oder Elektromagnetischen Pulsen lassen sich Drohnen zudem direkt unter Beschuss nehmen. Eine andere Möglichkeit sind Fangnetze, die vom Boden oder einer anderen Drohne aus über dem unerwünschten Fluggerät abgeschossen werden. Die Massnahmen sind länderspezifisch verschieden verortet. So gilt teilweise, dass die Massnahmen Polizei und Militär vorbehalten, der Betrieb von Störsendern durch Privatpersonen oder Unternehmen wie auch das Abschiessen verboten und nur in Ausnahmefällen nach einer aufwendigen behördlichen Genehmigung erlaubt sind.

Die Abwehrmöglichkeiten gegen Drohnen sind damit begrenzt. Unternehmen sollten deshalb zuallererst sämtliche Funkverbindungen sichern, besonders durch konsequentes Verschlüsseln. Wird beispielsweise durch die Analyse der Funkkommunikation eine Drohne erkannt, können die Jalousien heruntergelassen werden. Werden Fenster vorbeugend verspiegelt, ist es nicht mehr möglich, Bildschirme abzufotografieren. Zudem sollten Tastenfelder für PIN-Eingabegeräte so angebracht werden, dass sie nicht von oben ausspioniert werden können. Die wichtigste Massnahme betrifft aber die Mitarbeiter: Sie müssen verstehen, dass ein Angriff nicht nur über das Internet droht, sondern auch aus der Luft. Unternehmen sollten das entsprechende Risikobewusstsein schaffen und die Gefahr durch Drohnen in ihrer Sicherheitsstrategie berücksichtigen.