Team82 entdeckt Schwachstellen in USP-Systemen und HLK-Anlagen
Die Sicherheitsforscher von Team82, der Forschungsabteilung des Spezialisten für die Sicherheit von cyber-physischen Systemen (CPS) Claroty, haben Schwachstellen in zwei verschiedenen Gerätetypen entdeckt, die vor allem in Rechenzentren zum Einsatz kommen: unterbrechungsfreie Stromversorgungen (USV) und Steuerungen für Heizung, Lüftung und Klimatisierung (HLK). Cyberkriminelle und staatlich unterstützte Angreifer können diese Sicherheitslücken ausnutzen und kostspielige Ausfallzeiten verursachen. Gerade vor dem Hintergrund der steigenden Bedeutung von Rechenzentren, insbesondere für die KI, kann dies schwerwiegende Auswirkungen auf kritische Prozesse haben.
„Rechenzentren werden immer mehr zur kritischen Infrastruktur“, erklärt Thorsten Eckert, Regional Vice President Sales Central von Claroty. „Zahlreiche Prozesse, die unser tägliches Leben bestimmen, sind ohne Data Center kaum mehr denkbar. Hinzu kommt die enorme und stetig steigende Arbeitslast durch KI. Ausfallzeiten verursachen so schnell Kosten in Höhe von mehreren hunderttausend Euro pro Stunde.“ Einen fundamentalen Grundpfeiler jedes Rechenzentrums stellt die unterbrechungsfreie Stromversorgung dar. Sie schützt Server, Router und Steuerungssysteme vor Spannungsspitzen oder -abfällen und ermöglicht so einen stabilen Betrieb auch im Falle eines Stromausfalls. Die Sicherheitsforscher haben in der USV von Vertiv zwei kritische Schwachstellen entdeckt, die zu einem vollständigen Betriebsausfall führen könnten. Details und Hintergründe hierzu finden sich im entsprechenden Blog-Beitrag ( https://claroty.com/team82/research/attacking-ups-network-cards-to-take-down-data-centers).
Team82 entdeckte zudem eine Reihe schwerwiegender, in hohem Maße ausnutzbarer Sicherheitslücken im weit verbreiteten automatisierten HLK-Regler Trane Tracer SC+. Diese waren tief in der Architektur des Geräts verborgen und ermöglichen eine Remote-Code-Ausführung. Auf diese Weise können Angreifer die vollständige Kontrolle über ein kritisches Gebäudemanagementsystem erlangen und beispielsweise die Temperatur im Rechenzentrum manipulieren. Weitere Informationen finden sich im Blog „Turning Up the Heat: Hacking Trane HVAC Controllers“ ( https://claroty.com/team82/research/turning-up-the-heat-hacking-trane-hvac-controllers).
„Die recht unterschiedlichen Schwachstellen und Ziele verdeutlichen, warum Rechenzentren ihre Sicherheitsstrategie dringend überdenken und anpassen müssen. Schon ein einziger Cybervorfall in irgendeinem eingesetzten System kann zu physischen Störungen führen und enorme Ausfallzeiten nach sich ziehen“, so Eckert. „Die Gefahren für die Rechenzentren sind sehr real und sehr präsent. Die Betreiber müssen schnell handeln und den Schutz von cyber-physischen Systemen wie Gebäudeautomation als geschäftliche Notwendigkeit betrachten. Nur so sind sie in der Lage, Risiken zu reduzieren und ihre Resilienz zu stärken.“
Die speziell für cyber-physische Systeme (CPS) entwickelte Security-Plattform von Claroty bietet eine tiefe Transparenz in sämtliche Assets und umfasst Exposure Management, Netzwerkschutz, sicheren Fernzugriff und Bedrohungserkennung, sowohl in der Cloud mit Claroty xDome als auch lokal mit Claroty Continuous Threat Detection (CTD). Dank mehrfach ausgezeichneter Sicherheitsforschung und einer Vielzahl von Technologie-Allianzen ermöglicht die Claroty-Plattform Unternehmen eine effektive Reduzierung von CPS-Risiken bei schneller Time-to-Value und geringeren Gesamtbetriebskosten. Claroty wird von Hunderten Unternehmen an Tausenden Standorten auf der ganzen Welt eingesetzt. Das Unternehmen hat seinen Hauptsitz in New York und ist in Europa, im asiatisch-pazifischen Raum und in Lateinamerika vertreten. Weitere Informationen unter www.claroty.com
Firmenkontakt
Claroty
Kelly Ferguson
Maddison Ave 488
1022 New York
+1 212-937-9095
https://www.claroty.com/
Pressekontakt
Weissenbach PR
Bastian Schink
Landsberger Str. 302
80687 München
0162 916 5189
https://www.claroty.com/
- CPS (Wikipedia)
CPS steht für: Child protective services, Name der Kinderschutzbehörden in vielen US-Staaten Cancer Prevention Study, eine Serie von epidemiologischen Studien der American Cancer Society Canon Professional Services, der weltweite Profi-Support für Kameras von Canon Capsaicin, ein aus Pflanzen der Gattung Capsicum gewonnenes Alkaloid CP System, eine Videospielplatine von Capcom, die in Spielhallen zum Einsatz kommt Carrier Preselection, die Betreibervorauswahl für Telefonverbindungen cells per second, eine Einheit in der Datenübertragungstechnik Asynchronous Transfer Mode (ATM) Centre for Policy Studies, eine britische Denkfabrik Centre de politique de sécurité, französischer Begriff für das Genfer Zentrum für Sicherheitspolitik. Certification Practice Statement, eine Dokumentation der Zertifizierungsverfahren, siehe Public-Key-Infrastruktur characters per second, englisch für „Zeichen pro Sekunde“, Einheit zur Angabe von Datenübertragungsraten chips per second, eine Einheit in der Funktechnik, der sogenannte Spreizcode Chlorparaffine (CPs), ein chemisches Stoffgemisch Citrix Presentation Server, eine ehemalige Bezeichnung einer Terminalserversoftware der Firma Citrix, siehe Citrix Virtual Apps Civilian Public Service, eine Alternative zum Militärdienst in den USA zu Zeiten des Zweiten Weltkriegs, vergleichbar mit dem deutschen Zivildienst Congregatio pretiosi sanguinis, Ordenskürzel der Missionsschwestern vom Kostbaren Blut Conventional Prompt Strike, Fähigkeitsvorhaben der US-amerikanischen Streitkräfte Continuation-Passing Style, ein Programmierstil, bei dem der Ablauf eines Programms durch die Übergabe von Continuationobjekten festgelegt wird Counts per second, eine Einheit zur Zählrate in der Spektroskopie Creative Problem Solving, eine Methodik der Ideenfindung von Alex F. Osborn Chronic pain syndrome, siehe Chronisches Schmerzsyndrom cross-border public services, grenzüberschreitende öffentliche Daseinsvorsorge Circumsporozoitprotein, ein Oberflächenprotein des Malariaerregers, das während seiner Sporozoitenphase gebildet wird. Crown Prosecution Service, eine Regierungsorganisation für England und Wales Cyber-physisches System, … - Cybersecurity (Wikipedia)
Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-System der System and Organization Controls (SOC). Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung. Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher. - Cybersicherheit (Wikipedia)
Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-System der System and Organization Controls (SOC). Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung. Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher. - Data Center (Wikipedia)
Mit Rechenzentrum (kurz: RZ; oder aus dem Englischen entlehnt: [das] Datacenter (DC) – „Datenzentrum“) bezeichnet man sowohl das Gebäude als auch die Räumlichkeiten, in denen die zentrale Informationstechnik (IT) oder Informations- und Kommunikationstechnik (ITK) einer oder mehrerer Unternehmen bzw. Organisationen untergebracht ist. Rechenzentren oder Datenzentren sind technische Einrichtungen, in denen tausende Computer (Server) sowie die dafür nötigen Klima-, Kühl- und Stromversorgungssysteme untergebracht sind. Sie beziehen große Mengen elektrischer Energie aus dem öffentlichen Netz und verfügen häufig über zusätzliche Notstromaggregate und USV-Anlagen zur Sicherstellung des Betriebs. Wegen des hohen Energiebedarfs steht Energieeffizienz im Fokus. Dazu zählen die Power Usage Effectiveness (PUE)-Optimierung oder die Nutzung erneuerbarer Energien. Weitere zentrale Merkmale sind die Sicherheit der Anlagen, redundante Netz- und Versorgungsarchitekturen sowie kontinuierliches Monitoring, Telecontrol und Wartungsmaßnahmen. Die Sicherung der genutzten Daten und Dienste findet als Teil der Informationssicherheit statt. Den Anlagen kommt somit eine zentrale Bedeutung bei der Nutzung elektronischer Datenverarbeitung (EDV) in Unternehmen, Verwaltungen und anderen Institutionen sowie bei den Benutzern der zahlreichen Onlinedienste zu. Stand 2025 gibt es mehr als 10.000 Rechenzentren weltweit. Von den mehr als 1000 der sehr großen Rechenzentren gehören mehr als die Hälfte den Big-Tech-Unternehmen Alphabet, Amazon und Microsoft. Rund 50 % der Kapazitäten befinden sich in Nordamerika bzw. den USA. Als Größeneinheit wird hier häufig das Gigawatt (GW) verwendet. Man schätzt, dass weltweit rund 100 GW Kapazitäten in Betrieb sind und etwa weitere 100 GW bis Ende 2030 dazu kommen könnten. Es gibt jedoch keine einheitliche Definition der Größe von Rechenzentren. Die Angabe der „Kapazität“ in MW bzw. GW ist unklar, da unklar ist, ob der Wert die Anschlussleistung, die Spitzenlast, den durchschnittlichen (jährlichen?) Bedarf oder eine andere Größe darstellt. In Deutschland werden laut dem Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) Stand 2025 rund 2000 Anlagen … - KRITIS (Wikipedia)
Infrastrukturen, die eine wesentliche Bedeutung für die Aufrechterhaltung gesellschaftlicher Funktionen haben, werden als kritische Infrastrukturen bezeichnet. Diese verdienen besonderen Schutz. Zu kritischen Infrastrukturen zählen beispielsweise die Versorgung mit Lebensmitteln, Energie und Wasser. - Rechenzentrum (Wikipedia)
Mit Rechenzentrum (kurz: RZ; oder aus dem Englischen entlehnt: [das] Datacenter (DC) – „Datenzentrum“) bezeichnet man sowohl das Gebäude als auch die Räumlichkeiten, in denen die zentrale Informationstechnik (IT) oder Informations- und Kommunikationstechnik (ITK) einer oder mehrerer Unternehmen bzw. Organisationen untergebracht ist. Rechenzentren oder Datenzentren sind technische Einrichtungen, in denen tausende Computer (Server) sowie die dafür nötigen Klima-, Kühl- und Stromversorgungssysteme untergebracht sind. Sie beziehen große Mengen elektrischer Energie aus dem öffentlichen Netz und verfügen häufig über zusätzliche Notstromaggregate und USV-Anlagen zur Sicherstellung des Betriebs. Wegen des hohen Energiebedarfs steht Energieeffizienz im Fokus. Dazu zählen die Power Usage Effectiveness (PUE)-Optimierung oder die Nutzung erneuerbarer Energien. Weitere zentrale Merkmale sind die Sicherheit der Anlagen, redundante Netz- und Versorgungsarchitekturen sowie kontinuierliches Monitoring, Telecontrol und Wartungsmaßnahmen. Die Sicherung der genutzten Daten und Dienste findet als Teil der Informationssicherheit statt. Den Anlagen kommt somit eine zentrale Bedeutung bei der Nutzung elektronischer Datenverarbeitung (EDV) in Unternehmen, Verwaltungen und anderen Institutionen sowie bei den Benutzern der zahlreichen Onlinedienste zu. Stand 2025 gibt es mehr als 10.000 Rechenzentren weltweit. Von den mehr als 1000 der sehr großen Rechenzentren gehören mehr als die Hälfte den Big-Tech-Unternehmen Alphabet, Amazon und Microsoft. Rund 50 % der Kapazitäten befinden sich in Nordamerika bzw. den USA. Als Größeneinheit wird hier häufig das Gigawatt (GW) verwendet. Man schätzt, dass weltweit rund 100 GW Kapazitäten in Betrieb sind und etwa weitere 100 GW bis Ende 2030 dazu kommen könnten. Es gibt jedoch keine einheitliche Definition der Größe von Rechenzentren. Die Angabe der „Kapazität“ in MW bzw. GW ist unklar, da unklar ist, ob der Wert die Anschlussleistung, die Spitzenlast, den durchschnittlichen (jährlichen?) Bedarf oder eine andere Größe darstellt. In Deutschland werden laut dem Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) Stand 2025 rund 2000 Anlagen …
