Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

23.01.2015 - 

Automatic Tank Gauges

Tausende US-Tankstellen ungesichert im Internet

Simon verantwortet als Program Manager Executive Education die Geschäftsentwicklung und die Inhalte des IDG-Weiterbildungsangebots an der Schnittstelle von Business und IT. Zuvor war er rund zehn Jahre lang als (leitender) Redakteur für die Computerwoche tätig und betreute alle Themen rund um IT-Sicherheit, Risiko-Management, Compliance und Datenschutz.
Die Gefahren der totalen Vernetzung könnten bald viele amerikanische Autofahrer zu spüren bekommen. Tausende Tankstellen, vor allem in den USA, sind per TCP/IP ungeschützt ans Internet angeschlossen.

Das berichtet der Chief Research Officer der Security-Firma Rapid7, HD Moore, in einem Blogbeitrag und beruft sich dabei auf Insiderinformationen aus der Industrie. Rund 5800 sogenannter "Automatic Tank Gauges" (ATGs) seien über das Internet ohne Umwege und Passwortschutz steuer- und damit auch manipulierbar - 5300 davon allein in den USA, immerhin rund drei Prozent aller Tankstellen des Landes.

Mithilfe von ATGs, hergestellt von Veeder-Root, werden die Benzintanks fast aller amerikanischen Tankstellen und auch vieler weiterer Tankstellen weltweit gesteuert und überwacht. Über eine Monitoring-Konsole können die Betreiber Füllstände, Tankvorgänge, drohende Lecks oder auch Umwelteinflüsse von außen kontrollieren. Angeschlossen sind diese ATGs über serielle Schnittstellen, Fax, Modem oder eben TCP/IP. Um auch über das Internet auf die Überwachungskonsole zugreifen zu können, nutzen viele Tankstellenbetreiber TCP/IP, zumeist über TCP-Port 10001 - da ein Passwortschutz nicht per default eingerichtet ist, stehen die Systeme deshalb häufig offen und frei erreichbar im Internet.

Das US-Unternehmen Veeder-Root bietet für Tankstellen verschiedene ATGs samt Steuerkonsolen an.
Das US-Unternehmen Veeder-Root bietet für Tankstellen verschiedene ATGs samt Steuerkonsolen an.

Sicherheit durch VPN-Gateways

Ein Angreifer mit Zugang zu einem ATG-Interface sei in der Lage, die komplette Tankstelle außer Betrieb zu nehmen, indem er dem ATG einen falschen Füllstand vortäusche, Fehlalarme auslöse oder das Monitoring-System komplett abschalte, warnt Moore.

Bislang seien zwar keine Angriffe auf ATGs bekannt geworden, er schreibt aber auch, dass "natürliche" Systemfehler und -ausfälle in diesem Fall nicht von vorsätzliche herbeigeführten unterschieden werden können.

Betroffenen Tankstellenbetreiber, die ein ATG via TCP/IP benutzen, empfiehlt er, am besten ein VPN-Gateway oder ein anderes dedizierte Hardware-Interface einzusetzen, um auf die Monitoring-Konsole der Tanks zuzugreifen. Etwas weniger Sicherheit böten IP-Adressfilter und das Setzen eines Passworts für jeden seriellen Port.

Newsletter 'Produkte & Technologien' bestellen!