© iStock/Maxian
Sellafield

Berichte zu Cyberangriffen auf britische Nuklearanlage Sellafield (Update 04.10.2024)

Die britische Aufsichtsbehörde Office for Nuclear Regulation (ONR) veröffentlichte gestern (04.12.2023) ein Statement, nachdem die Tageszeitung The Guardian am selben Tag von Cyberangriffen auf die Nuklearanlage in Sellafield berichtet hatte.  

Im Beitrag des The Guardian wird berichtet, dass die britische Nuklearanlage Sellafield von Angreifergruppierungen kompromittiert worden sei, die enge Kontakte zu Russland und China pflegten. Die britische Tageszeitung beruft sich dabei auf Informationen aus Regierungskreisen, der ONR und allgemein Sicherheitsdiensten. Demnach soll bereits 2015 entdeckt worden sein, dass sogenannte Sleeper-Malware in die Computernetzwerke der Nuklearanlage eingebettet worden sei. Solche Schadsoftware wird nicht direkt nach der Installation aktiv, sondern bleibt zunächst inaktiv und wartet für ihre Aktivierung auf Signale, Zeitpunkte oder Ereignisse (sogenannte Trigger).  

Im Statement von Seiten des staatlichen Betreibers, der Sellafield Ltd., heißt es, es lägen keine Beweise vor, die darauf hindeuten, dass die Netzwerke von Sellafield Ltd. erfolgreich auf die vom Guardian beschriebene Weise angegriffen worden seien. Ähnlich äußerte sich auch die Aufsichtsbehörde ONR in ihrem Statement. Diese ergänzt jedoch, dass Sellafield Ltd. derzeit nicht die geforderten IT-Sicherheitsstandards erfülle, weshalb das Unternehmen unter besonderer Beobachtung stehe und mit Spezialmaßnahmen belegt worden sei. Es gäbe keine Hinweise darauf, dass die öffentliche Sicherheit gefährdet sei, so die Behörde weiter. 

IT-Sicherheit bei Nuklearanlagen 

Kerntechnische Anlagen sind Teil der kritischen Infrastruktur und unterliegen daher besonderen Bestimmungen, was Maßnahmen zu deren Schutz vor Angriffen anbelangt. Dies umfasst auch den Schutz vor Cyberangriffen. Kernkraftwerke verwenden digitale und analoge Systeme zur Überwachung, zum Betrieb, zur Steuerung, zum Schutz und zur Sicherung der Anlagen. So wird in Kernkraftwerken beispielsweise ein sogenanntes "Defence-in-depth"-Konzept angewandt, bei dem mehrere Sicherheitsebenen über das gesamte System verteilt sind. Ein Teil dieses Ansatzes sind Hardware-Vorrichtungen, die Datenfluss zwischen hochsicheren Bereichen (z. B. Reaktorsteuerung) und weniger gesicherten Bereichen ausschließlich in eine Richtung zulassen. Darüber hinaus werden digitale Bereiche, die für die Sicherheitssysteme der Anlagen von entscheidender Bedeutung sind, von externen Netzen, einschließlich des Internets, isoliert.  

Die GRS wertet die IT-Bedrohungslage in Bezug auf industrielle Steuerungssysteme und kritische Infrastrukturen kontinuierlich im Auftrag des Bundesumweltministeriums aus.  

Sellafield  

Die Nuklearanlage Sellafield liegt im Nordwesten Englands an der Irischen See. Hier befinden sich Wiederaufarbeitungsanlagen, Brennelementfabriken, eine Verglasungsanlage für hochradioaktive Abfälle und eine Reihe weiterer kerntechnische Anlagen, wie zum Beispiel das 2003 abgeschaltete Kernkraftwerk Calder Hall. Darüber hinaus lagern am Standort große Mengen radioaktiver Abfälle (u. a. abgebrannte Brennelemente, Abfälle aus der Wiederaufarbeitung).   

Update 04.10.2024

Wie die Aufsichtsbehörde ONR am 02.10.2024 mitteilte, hat sie Sellafield Limited wegen Mängeln bei der Cybersicherheit über einen Zeitraum von vier Jahren zu einer Geldstrafe in Höhe von 332.500 £ verurteilt. Die Verstöße bezögen sich auf das Sicherheitsmanagement der Informationstechnologie in den Jahren 2019 bis 2023 und auf Verstöße gegen die Nuclear Industries Security Regulations 2003. Eine Untersuchung der ONR habe ergeben, dass Sellafield Ltd. die in seinem eigenen Plan für Cybersicherheit und den Schutz sensibler nuklearer Informationen festgelegten Standards, Verfahren und Vorkehrungen nicht eingehalten habe.