Über die IT-Sicherheit von Flugzeugen

Laokoon und Kassandra: Bonus Exitus

Die Flugzeughersteller Airbus und Boeing legen viel zu wenig Wert auf Informationssicherheit. Meiner Meinung nach müssten die IT-Systeme auf den Fliegern mindestens nach Common Criteria CC EAL 4+ zertifiziert sein, wenn es nach anderen geht, wie ich lese, mittlerweile nach EAL 7, lauscht man dem Hersteller Boeing und der Siemens, die AADS5 entwickeln möchten. Eine komplette Supply Chain von der Entwicklung der Software eines Fliegers, über den Betrieb bis zur Wartung hin, alles soll sicherer werden.

Das ist aber nur Schein, nicht sein. Und es gibt tonnenweise Probleme. Und was heißt schon EAL 7? Für welches Protection Profile denn von AADS5? Das Ganze? Das ist unmöglich oder das Zertifikat wird eben nur gekauft von Boeing, die USA spielen mit, um Airbus schlechter aussehen zu lassen. Nennen wir es verdeckte Marktregulierung, das machen deutsche Behörden auch gerne z.B. mit chinesischen Herstellern. Aber stellen Sie sich vor, die USA machen das und bekommen es hin, dann dürfte Airbus vermutlich nicht mehr in den USA seine Produkte verkaufen.

Etwas deartiges zu fordern oder zu schreiben zeigt mir, dass auch in Landshut ansässige Professoren der Boeing versuchen heiße Luft bzw. ein Himmelskuckkucksei zu verkaufen, denn wer schon einmal eine CC Zertifizierung durchgeführt hat, der weiß, dass das Marketinggeplänkel ist, und nichts mit der Realität zu tun hat. Ausserdem macht ein Zertifikat noch keine Sicherheit, nur eine sichere Architektur aller Komponenten, und darüber lese ich bisher nichts.

Zudem es wäre eines der aufwendigsten Cybersecurity-Programme der Welt, die jemals stattgefunden haben. Wie viele Zulieferer hat eine Boeing, oder Airbus. Diamond Aircraft, ein Kleinhersteller von mehrmotorigen Flugzeugen in Österreich hat schon ca.190 Zulieferer von Teilen oder Systemen einer DA 42.

In einer Absicherung die Unterauftragnehmer von Boeing oder Airbus miteinzubeziehen, in ihrer Entwicklung, in ihren Herstellungsprozessen und deren Unterauftragnehmer, ist eine kleine Aufgabe von der Dauer einer Dekade, mindestens. Die bekommen das nicht einmal für so einfache Dinge wie den Datenschutz hin. Das ist die Praxis, die ich in den Firmen erlebe. Ein ganzes Sicherheitsprogramm danach auszurichten, und dann nach EAL 7,  dem würde ich mich gerne in einem Fernsehduell mit Frage und Antwort stellen. Die Hersteller bekommen ihre Qualitätssicherung nicht einmal in den Griff. Da gibt es Standards und Programme, aber scheinbar sind die nicht gut, wie man am Airbus 400 Militärtransporterabsturz sehen konnte. Die Software wurde nicht gut genug getestet. Das hat man auch schon an der missglückten Landung des 320 der Lufthansa in Polen gesehen. Starker Regen, der Airbus landet, das Vorderrad setzt auf (Flieger sollte definitiv im Landemodus sein – Transponder fliegt raus – Umkehrschub sollte möglich sein), und dann ist er es aber nicht, weil sich vor dem Bugrad eine Wasserwelle aufgebaut hat, die das Rad daran hindert sich zu drehen (Aquasteering). Räder drehen nicht, Flugzeug ist dadurch computertechnisch nicht im Landemodus, Computer gibt Gas, Pilot kann nichts machen, weil…Fly-by-Wire, Menschen sterben oder werden verletzt.

Solche zusammenhängende komplexe Systeme gibt es zu hunderten auf einem Flieger, und die werden nicht einfacher. Vor allem setzen neue Funktionen und zugrundeliegende neue Technologien auf altem Mist auf. Das ist überhaupt das Gefährlichste an der Sache. Dass Flugzeughersteller sich auf ihre Kernkompetenz verlassen, ist auch nicht gut. Sie kaufen Drittsysteme ein, z.B. Windows-Rechner, und installieren Sie mit all den Sicherheitsschwachstellen auf dem Flieger, ohne darüber nachzudenken. Anstatt ein Open Source System zu kaufen, und den Kernel auf die Anforderungen zu strippen, und alles andere wegzulassen, beschränkt man sich auf Dienste zu deaktivieren, die nicht benötigt werden. Wie man beim Hack über die Bordunterhaltungssysteme in den USA gesehen hat, ist noch nicht einmal IP-Forwarding von der Servern auf dem Flieger abgeschaltet, sonst hätte der Hacker kein Network-Hopping durchführen können. Das alles ist noch weit entfernt vom Science Fiction. Aber das Veröffentlichen eines Wunschprogramms soll vermutlich die Passagiere beruhigen und die Konkurenz einschüchtern.

Zu loben ist also erst einmal der Wille, die Idee, mehr nicht. Der Rest ist nicht ein normaler, sondern ein virtueller Science Fiction.  Deshalb auch noch einmal der alte Laookoon & Kassandra dazu.