Transcript
Speaker: Willkommen zu Charging Excellence, dem Podcast für Ladeinfrastruktur-Profis.
Speaker: Mein heutiger Gast ist Maurice Al-Khalidi von Spike Reply, einem Unternehmen, das sich auf Cyber Security und den Schutz kritischer Infrastruktur spezialisiert hat.
Speaker: Maurice unterstützt seit vielen Jahren Industrie- und Energieunternehmen dabei, genau jene Systeme abzusichern, auf denen auch unsere Ladeparks und Stromnetze laufen.
Speaker: In dieser Folge sprechen wir darüber, warum Ladeinfrastruktur ein attraktives Ziel für Eingreifer ist, wo in der Kette von Fahrzeug über Ladesäule und Backend bis ins Netz die größten Schwachstellen liegen und was Betreiber jetzt ganz konkret tun sollten, um ihr Ladenetz widerstandsfähiger zu machen.
Speaker: Viel Spaß!
Speaker: Hallo Maurice!
Speaker: Hallo Fabian!
Speaker: Maurice!
Speaker: Warum sind Ladeinfrastrukturen ein attraktives Ziel für Angreifer im Bereich Cybersecurity?
Speaker: Ladestationen, klar, es geht um kritische Infrastruktur erst einmal.
Speaker: Das ist ein ganz wichtiger Punkt, kritische Infrastruktur.
Speaker: Es geht um Verfügbarkeit.
Speaker: Und es geht natürlich auch um das Thema Geld zu verdienen.
Speaker: Geld zu verdienen mit Themen wie beispielsweise Erpressung, die Verfügbarkeit zu stören, Kreditkarten abzuziehen, Personendaten, Fahrzeug-IDs, diverse, ich sage mal, Informationen aus diesen Infrastrukturen zu bekommen.
Speaker: Im Endeffekt geht es darum,
Speaker: damit Geld verdienen wird.
Speaker: Das ist dasselbe wie mit anderen Infrastrukturen.
Speaker: Ob es jetzt nur eine Ladeinfrastruktur ist oder ob das andere Dienste sind, digitale Dienste.
Speaker: Im Endeffekt ist ja auch so eine Ladeinfrastruktur, besteht ja nicht nur aus einem physischen Teil, nämlich der Ladesäule.
Speaker: sondern auch eine ganze Menge an Backend-Infrastruktur.
Speaker: Und diese Backend-Infrastruktur, diese ganze Supply Chain hat jedes für sich natürlich einen Angriffsvektor.
Speaker: Und diese Angriffsvektoren versucht man natürlich auszunutzen, wie gesagt, jede Infrastruktur, um Profit aus diesem Service zu generieren.
Speaker: Ist dort Ladeinfrastruktur besonders bedroht?
Speaker: Also ist es ein Ziel, was besonders attraktiv für Angreifer ist im Vergleich zu anderen Systemen, anderen Industriezweigen?
Speaker: Nehmen wir mal kritische Infrastrukturen.
Speaker: Energiesektor, Krankenhäuser, Unternehmen, die nicht so eine Kritikalität haben.
Speaker: Weil mit dieser Kritikalität kannst du den Druck natürlich massiv steigern.
Speaker: um entsprechend Kapital aus diesen Unternehmen zu schlagen.
Speaker: Aber wenn ich eine gesamte Ladeinfrastruktur kommuniziere, dann hat es einen ganz anderen Impact auf die Fahrzeuge.
Speaker: Man fährt nicht mehr, es gibt keinen Strom mehr.
Speaker: Wenn wir das mal auf Deutschland runterbrechen, sieht man global direkt den Impact.
Speaker: Du hattest schon kurz angesprochen,
Speaker: was so die Motive sind von Angreifern.
Speaker: Was sind aber das für Gruppierungen?
Speaker: Sind das nur Kriminelle?
Speaker: Haben wir vielleicht Staaten?
Speaker: Sind es Terroristen?
Speaker: Wer hat es insbesondere auf kritische Infrastruktur abgesehen?
Speaker: Akteure können Nation States sein oder Intelligent Services, also Nachrichtendienste, was auch üblich ist für bestimmte Branchen.
Speaker: Organisiertes Verbrechen.
Speaker: Wir können motivierte Aktivisten, sagen wir mal, die gegen vielleicht irgendwelche Menschen, die gegen diese Art von Infrastrukturen sind oder ScriptKitties, die auch Kinder, Kinder, Erwachsenen, aber einfach Personen, die spielen, um herauszufinden, dass sie es können.
Speaker: Aber speziell für diese Branche, ganz klarer Fall, organisiertes Verbrechen und natürlich Nation State.
Speaker: Nation State, klar, die ein Interesse haben, um in der Bevölkerung ja eine gewisse Unzufriedenheit hervorzurufen.
Speaker: Wir würden so ein klassischer
Speaker: Angriff aussehen, jetzt mal vom organisierten Verbrechen auf meine Dateninfrastruktur.
Speaker: Du hast natürlich verschiedene Targets innerhalb so einer Infrastruktur.
Speaker: Du hast verschiedene Komponenten.
Speaker: Die Dateninfrastruktur besteht ja nicht nur aus der Säule selber.
Speaker: Sondern du hast eine Backend-Infrastruktur und diese Backend-Infrastruktur zum einen als auch die Anbindung, die Schnittstellen zwischen Backend und der Säule selber.
Speaker: Da hast du so viele Möglichkeiten, Schwachstellen zu identifizieren.
Speaker: Wenn jemand dazu in der Lage ist und wenn wir uns mal auf die Säule selber konzentrieren, dann hast du ein physisches Blackbox erst einmal.
Speaker: Du hast möglicherweise Wartungszugänge, ob sie jetzt verschraubt sind oder nicht verschraubt sind.
Speaker: Sabotagekontakte hast, die dann theoretisch gesehen, wenn die Tür aufgeht, auch einen Alarm liefern.
Speaker: In der Ladesäule selber hast du eine Menge an Komponenten.
Speaker: Du hast Kommunikationsgateways, die dann letztendlich auch mit dem Backend sprechen.
Speaker: Du hast APIs, die mit Software von der Ladesäule in Richtung Backend kommunizieren.
Speaker: Du hast NFC-Möglichkeiten.
Speaker: Also es gibt eine Menge an Schnittstellen, sagen wir mal, die kompromittiert werden können, wenn sie nicht
Speaker: vernünftig abgesichert sind.
Speaker: Und wie würde dann so ein Angriff aussehen?
Speaker: Also gehen wir mal von der organisierten Kriminalität aus.
Speaker: Die wird vermutlich eher östlich sitzen.
Speaker: Die werden eher weniger physisch in Deutschland präsent sein.
Speaker: Das heißt, wahrscheinlich keinen physischen Angriffsweg nutzen.
Speaker: Das heißt, wo würden die höchstwahrscheinlich einfallen?
Speaker: Du hast ein Backend.
Speaker: Du hast irgendwo eine Cloud.
Speaker: Du hast
Speaker: Schnittstellen, API, andere Protokolle, die innerhalb der End-to-End-Verbindung stattfinden.
Speaker: Und am Ende ist es halt das Durchtesten.
Speaker: Ist die Verbindung verschlüsselt?
Speaker: Hast du Probleme in deiner API-Kommunikation?
Speaker: Es gibt diverse Ansätze, wie du letztendlich ein Backend-System kompromittieren kannst.
Speaker: Wie schütze ich mich dagegen?
Speaker: Es sind so viele Punkte, die da berücksichtigt werden.
Speaker: API-Schnittstellen, Authentizierungsprobleme.
Speaker: Es gibt Validierungsprobleme innerhalb der Calls.
Speaker: Es gibt vielleicht auch die Zertifikate.
Speaker: Vielleicht gibt es keine Zertifikate oder es gibt Zertifikate, die vielleicht auch schon abgelaufen sind.
Speaker: Firmware-Updates, Remote-Konfiguration.
Speaker: Naja, um auf die Frage zurückzukommen,
Speaker: Wenn man eine Infrastruktur hat, also wie fängt man dann an?
Speaker: Du fängst mit einem Threat Modeling an, also eine Gefahrenbewertung.
Speaker: Das machst du letztendlich in jeder Art von Infrastruktur, ob das jetzt eine digitale Infrastruktur ist oder auch eine militärische Infrastruktur.
Speaker: Das ist ein ähnliches Thema.
Speaker: Du bewertest eine gewisse Infrastruktur, eine Situation.
Speaker: Und wenn du eine Infrastruktur hast, nehmen wir jetzt mal wieder diese Infrastruktur,
Speaker: Ladeinfrastruktur, dann hast du diverse Komponenten, Komponenten, Schnittstellen in dieser Infrastruktur, dann wird erstmal eine Bewertung gemacht und dieses wird dann runtergebrochen von der Station selber, von der Ladestation, deren Komponenten, Schnittstellen.
Speaker: In Richtung Cloud, in Richtung Cloud-Infrastruktur und die Lücken, die da identifiziert werden, werden adressiert.
Speaker: Diese Risiken müssen, wir sprechen von mitigiert werden, das heißt, du identifizierst möglicherweise Schwachstellen.
Speaker: Innerhalb der Kommunikation, wie schon erwähnt, du identifizierst vielleicht auch irgendwelche Misskonfigurationen.
Speaker: Du identifizierst, dass beispielsweise Firmware einfach nicht signiert ist, über ein Update auf die Station kommt.
Speaker: Die Verbesserung der Infrastruktur wird dann entsprechend daraus erledigt.
Speaker: Ja, geplant.
Speaker: Dann werden Herdungskonzepte gemacht.
Speaker: Du kannst auch natürlich das ganze Thema Detection noch mit einbauen.
Speaker: Es gibt mittlerweile das Thema Anomalieerkennung, Monitoring.
Speaker: Also diese Punkte können helfen, die Infrastruktur besser abzusichern.
Speaker: Das hört sich jetzt nach einer ganzen Menge an.
Speaker: Der Punkt ist, in der Ladeinfrastruktur gibt es viele kleine Player, die über 50, 60, 70, 100 Ladesäulen haben.
Speaker: Ist das nicht ein hoher organisatorischer Aufwand und wie kann ich das am besten stemmen?
Speaker: Das ist richtig.
Speaker: Wir sehen das ja auch bei Mittelstandsunternehmen, wenn du denen sagst, ja, ihr müsst jetzt das hier alles umsetzen.
Speaker: Es gibt pragmatische Punkte, die man vielleicht nicht mit viel Aufwand natürlich umsetzen kann.
Speaker: Hast du Best Practices, wie es kleine Unternehmen betrifft?
Speaker: sinnvoll hinbekommen haben?
Speaker: Best Practices, es gibt eine ganze Menge an Best Practices.
Speaker: Am Ende musst du sie ja auch umsetzen.
Speaker: Die Frage ist, wer setzt sie dann um?
Speaker: Wenn wir jetzt mal das Ganze in Prioritäten vielleicht mal ein bisschen so einteilen, okay, das Backend selber.
Speaker: Du hast das Backend, du hast APIs.
Speaker: Ich glaube,
Speaker: Das ist so der größte Schadensrisiko, wenn das Backend in einer gewissen Weise kompromittiert wird.
Speaker: Und da nimmst du dir, okay, API-Härtung, Verschlüsselung sind Themen.
Speaker: Es gibt Access oder Patch-Management, Monitoring, Alerting.
Speaker: Das sind Punkte, die du von vornherein einbauen.
Speaker: Auch im Logging-Thema, wer zu welcher Zeit greift auf die Infrastruktur zu und das Ganze vielleicht mit ein bisschen Intelligenz auswerten kannst.
Speaker: Gucke, was habe ich an Schnittstellen, was habe ich an Kommunikation und versuche diese dann zu.
Speaker: sehr einfach auf den aktuellen Stand zu bringen, um den Angriffsvektor möglichst gering zu halten.
Speaker: Das ist so einer der Punkte.
Speaker: Und natürlich klar, das ist das ganze Payment-Thema.
Speaker: Wenn es um Payment geht, um Identitäten, dass man da im Backend auch die Möglichkeit hat, da die Anwendungen entsprechend sicher zu gestalten.
Speaker: Du hattest ja vorhin schon einige Regulatorien angesprochen.
Speaker: Was kommt da auf den Ladeinfrastrukturbetreiber zu?
Speaker: Genau, also wie erwähnt, haben wir die NIST-2-Richtlinie EU, die jetzt letztes Jahr, glaube ich, Dezember 2025 in Kraft tritt, die sowohl Energiesektor-Kritis-Unternehmen adressiert.
Speaker: Wenn die
Speaker: Wenn natürlich das Unternehmen eine Größe hat, dann wird es auch in Risikomanagement und technische und organisatische Schutzmaßnahmen entsprechende Notfallpläne haben, die zumindest intern ausgearbeitet werden sollen, das ist unabhängig von Richtlinien.
Speaker: Also ich kann ehrlich sagen, ich habe schon Unternehmen gehabt, die haben gar nichts, noch nicht mal eine Dokumentation ihrer Infrastruktur, was ein Riesenproblem ist.
Speaker: Bei Sicherheitsvorfällen muss das Unternehmen auch in der Lage sein, innerhalb von 24 Stunden eine Meldung durchzuführen.
Speaker: Dann haben wir ja natürlich noch dieses Alternative Fuels Infrastructure Regulations, das ist auch EU.
Speaker: Diese Regulatorien, die ist auch, glaube ich, die greift, glaube ich, dieses Jahr, 2026.
Speaker: also AFIR-Abkürzung.
Speaker: Und dann natürlich, klar, so VDE in Richtung OCPP, wo auch dokumentiert ist, welcher Standard aktuell ist.
Speaker: Und natürlich das BSI, die entsprechenden Dokumente des BSI mal zu Ratet zieht, wo auch eine Menge an
Speaker: Themen adressiert werden.
Speaker: Vielleicht kann man sich auch noch an IEC 62443 orientieren.
Speaker: Das sind Richtlinien im Bereich der Produktion.
Speaker: Energieversorger orientieren sich danach, aber auch produzierende Gewerbe orientieren sich nach IEC 62443.
Speaker: Das Wichtigste ist auf jeden Fall NIS 2.
Speaker: Sie ist bindend.
Speaker: Der Rest ist, ich würde nicht sagen, nice to have.
Speaker: Sollte man sich angucken.
Speaker: Danke dir, Maurice.
Speaker: Ja, vielen Dank, Fabian, für den schönen Austausch.
