Stromversorgung als blinder Fleck: DC-Regler werden zum Angriffsziel

In der frühen Industrialisierung musste Strom Systeme lediglich ausreichend antreiben, um einfache Aufgaben zu erledigen, eine ausgefeilte Regelung war nicht nötig, erläutert Davis. IT-Systeme sind seither weitaus komplexer geworden, brauchen mehr Leistung und unterliegen größeren Spannungsschwankungen. Aufkommende Technologien wie künstliche Intelligenz und Quantencomputing gelten zudem als besonders stromhungrig.

„Die Technik, die dafür sorgt, dass der Strom gleichmäßig, gesteuert und effizient bereitgestellt wird, ist komplexer geworden", sagt Davis gegenüber Dark Reading. „Dadurch ist sie Teil der Angriffsfläche geworden." Die Stromregelung sei eine „häufig übersehene Sicherheitsabhängigkeit": Wer den Stromfluss eines Systems kompromittiere, könne dieselbe Störung verursachen wie bei einem Einbruch ins Netzwerk.

Die Regler sitzen unterhalb des Betriebssystems – und damit außerhalb der überwachten Ebene. „Es besteht die Möglichkeit, sich lautlos in der Infrastruktur zu verstecken", so Davis. Angreifer könnten Hintertüren nicht in die Infrastruktur selbst, sondern in die stromsteuernde Infrastruktur einbauen.

Chad LeMaire, CISO bei ExtraHop, verweist auf dieselbe Gefahr: Wer Geräte erfolgreich kompromittiere, könne die Leistung beeinträchtigen, Abschaltungen auslösen oder sogar Hardware beschädigen, ohne entdeckt zu werden. Das mache DC-Regler zu einem häufigeren und lohnenderen Ziel für Angreifer, die eine Organisation untergraben oder ein Zeitfenster der Ausfallzeit für andere Zwecke schaffen wollten.

Gary Schwartz, SVP bei NetRise, betont, dass Regler keine passiven Bauteile mehr seien. Viele seien heute programmierbare, firmwaregesteuerte Systeme, die bestimmen, wie Geräte physisch arbeiten. Als Beispiel nennt er den Halbleiterhersteller STMicroelectronics, dessen programmierbare Stromversorgungsbausteine mit konfigurierbarem Verhalten ausgeliefert würden; deren Ökosystem tauche in der National Vulnerability Database bereits mit Dutzenden CVEs zu Firmware und begleitender Software auf. „Sobald die Stromregelung softwaregesteuert ist, erbt sie dasselbe Lieferketten-Risiko wie jeder andere Code", sagt Schwartz. Entscheidend sei nicht allein das Vorhandensein von Schwachstellen, sondern wie schnell sie ausgenutzt werden könnten.

Die möglichen Folgen teilt Davis in zwei Kategorien. Im kleineren Maßstab könnten Angreifer einen einzelnen Regler ausnutzen, der mehrere Server versorgt, und so einen Denial-of-Service-Angriff auslösen, ohne jeden Server einzeln anzugreifen. In einem Rechenzentrum ließe sich daraus ein großflächiges DoS-Szenario machen. Im größeren Maßstab seien Menschen gefährdet, wenn sicherheitskritische Systeme der Betriebstechnik (OT) ins Visier gerieten – etwa ein vernetztes Auto, dessen Stromsystem eingebettete Rechner steuert und bei dem ein Angriff die Sicherheit von Fahrer und Insassen beeinträchtigen könnte.

Davis rät, die Stromregelung als Teil der Sicherheitsarchitektur zu behandeln. Bislang werde Strom oft nur unter dem Aspekt des Verbrauchs überwacht, nicht unter dem der Sicherheit – das müsse sich ändern. Etablierte Schutzmaßnahmen aus Unternehmensnetzen wie Segmentierung und Überwachung ließen sich übertragen. LeMaire ergänzt kryptografische Signierung und Secure-Boot-Mechanismen für Stromverwaltungssoftware als weiteren Baustein.

Das Thema werde weiter an Komplexität gewinnen, warnt Davis: „Wir sehen bereits, dass KI bei der Stromregelung eingesetzt wird. Es wird mit Sicherheit komplexer. Die Leute müssen sich jetzt damit auseinandersetzen."