Ein Team von Sicherheitsforschern hat eine kritische Sicherheitslücke in Flugzeugen der Boeing-737-Familie entdeckt. Über einen externen Wartungsanschluss ist es möglich, auf die Flugdatensysteme zuzugreifen und diese zu manipulieren. Dies stellt nicht nur ein theoretisches Sicherheitsrisiko dar, sondern demonstriert ein praktisches Angriffsszenario, das ernsthafte Auswirkungen haben könnte.
Die Sicherheitsforscher zeigten, dass sie durch diesen Anschluss Zugang zu kritischen Navigationsdaten erlangen können. Besonders beunruhigend ist die Tatsache, dass dieser Wartungsport als relativ leicht zugänglich beschrieben wird, nicht zuletzt, weil er während regelmässiger Wartungsarbeiten ohnehin verwendet wird. Dies bedeutet, dass potenziell zahlreiche Personen Kenntnis von seiner Existenz und seinem Standort haben.
Die Manipulation der Flugdaten könnte theoretisch dazu führen, dass der Autopilot auf der Grundlage falscher Informationen operiert. Dies könnte in einer extremen Situation zu fehlerhaften Flugsteuerungseingaben führen, besonders wenn ein Pilot sich auf automatisierte Systeme verlässt. Allerdings ist die praktische Realisierung eines solchen Angriffs complex, da zusätzliche Sicherheitsvorkehrungen und Redundanzsysteme eingebaut sind.
Die Entdeckung ist dennoch ein Weckruf für die Luftfahrtindustrie. Sie zeigt, dass selbst scheinbar triviale Zugriffspunkte zu kritischen Sicherheitsproblemen werden können. Boeing und andere Hersteller müssen eine Abwägung treffen zwischen der Notwendigkeit von Wartungszugängen und der Sicherheit der Flugzeuge.
Obwohl dies kein unmittelbares Problem für KMU darstellt, die keine Flugzeuge betreiben, illustriert der Fall ein grundsätzliches IT-Sicherheitsprinzip: Physische Zugänglichkeit zu kritischen Systemen stellt immer ein Risiko dar. In der eigenen IT-Infrastruktur bedeutet dies, dass Wartungsschnittstellen, Zugänge zu Serverräumen und ähnliche physische Kontrollpunkte sorgfältig geschützt werden müssen. Unternehmen sollten überprüfen, welche Wartungs- oder Administrations-Anschlüsse an ihren Systemen vorhanden sind und sicherstellen, dass diese adäquat gesichert sind.