Mehr als 150 Journalistinnen und Journalisten berichten rund um die Uhr für Sie über das Geschehen in Deutschland und der Welt.
Zum journalistischen Leitbild von t-online.Sind die Fahrstühle angreifbar? Beim BER wird noch Windows XP eingesetzt
Nach einem Jahrzehnt schlechter Nachrichten will der Berliner Flughafen Ende Oktober tatsächlich öffnen. Jetzt zeigt ein Blick in einige Fahrstühle: Hier steckt anscheinend noch eine Version von Windows XP drin, für die es seit einem Jahr keine Updates mehr gibt.
Der Pannenflughafen BER soll endlich zum Erfolgsprojekt werden: Am 31. Oktober werde er eröffnet, heißt es – geplant war der Start fast exakt neun Jahre früher. Leider scheint man die neun Jahre Verspätung nicht an allen Ecken bereits komplett aufgeholt zu haben.
So hat ein t-online-Reporter in einem Fahrstuhl des BER-Terminals folgendes Foto aufgenommen:
Wir benötigen Ihre Einwilligung, um den von unserer Redaktion eingebundenen X-Inhalt anzuzeigen. Sie können diesen (und damit auch alle weiteren X-Inhalte auf t-online.de) mit einem Klick anzeigen lassen und auch wieder deaktivieren.
Das Foto zeigt ein Display innerhalb des Fahrstuhls, dort wo vermutlich sonst die Stockwerkanzeige zu sehen wäre. Offenbar ist die unterlegte Windows-Version noch nicht gestartet, weshalb ein Anmeldefenster zu sehen ist.
Anmeldefenster mit Uralt-Windows
Das Anmeldefenster zeigt allerdings die Windows-Version Windows Embedded 2009. Embedded-Versionen von Windows sind speziell für den Einsatz in Geräten angepasst – etwa Geldautomaten, Kassensystemen – oder eben Fahrstühlen. Windows Embedded 2009 basiert im Kern auf Windows XP.
Das ist nun aus mehreren Gründen problematisch: Zunächst war Windows Embedded 2009 bereits zum geplanten Start des Flughafens am ersten November 2011 veraltet: Denn schon im April 2010 hatte Microsoft Windows Embedded 7 vorgestellt, das im Kern auf dem deutlich neueren und sichereren Windows 7 aufsetzte.
Allerdings ist das zunächst kein wirklich sicherheitsrelevantes Versäumnis. Schließlich werden die Embedded-Versionen von Microsoft noch über Jahre mit Updates versorgt. So auch Windows Embedded 2009, das etwa zehn Jahre nach Vorstellung Sicherheitsupdates erhielt. Damit war es auch die letzte Windows-XP-Version, die vom Hersteller gepflegt wurde.
Unterstützung war längst abgelaufen
Das Problem: Selbst der großzügige Supportzeitraum endete – je nach Unterversion – im Januar beziehungsweise im April 2019 – also deutlich über ein Jahr vor der geplanten Eröffnung des BER. Ein typisches Problem, für derartige Projekte, sagt, Thorsten Urbanski vom IT-Sicherheitsunternehmen ESET: "Bei langen Bauprojekten kann es durchaus vorkommen, dass noch solche Softwaredinosaurier im Einsatz sind. Wenn die nicht gewartet werden können, können die einen Angriffsvektor bieten."
Ähnlich sieht es Rüdiger Trost. Er ist bei F-Secure Deutschland für das Thema Cyber Security verantwortlich. "Die Verwendung dieser alten Windows-XP-Version stellt auf jeden Fall ein Sicherheitsrisiko dar", sagt Trost. Da Microsoft keine Patches mehr für aufkommende XP-Lücken bietet, würden auch Anbieter von Sicherheitssoftware keine entsprechenden Anwendungen mehr pflegen: "Denn wenn die Basis – in diesem Fall das Betriebssystem XP – vom Hersteller nicht mehr gepflegt wird, kann der Schutz nie auf dem Level sein, der nötig wäre", sagt Trost.
Angriffsrisiko theoretisch gegeben
Wie groß die Gefahr eines möglichen Angriffs tatsächlich ist, lässt sich derzeit nicht beantworten, da viele Faktoren unbekannt sind. Allerdings gäbe es durchaus realistische Angriffsszenarien, sagt Trost: "Vermutlich sind die Aufzüge nicht direkt mit dem Internet verbunden, aber sicherlich an ein Netzwerk angeschlossen. Schafft es ein Angreifer in dieses Netzwerk einzudringen, etwa durch das Auffinden einer Netzwerkdose, so kann er diese Systeme relativ leicht hacken. Zudem wird für solche Systeme oft ein Fernzugang für Wartungen des Herstellers geöffnet. Dieser kann ebenfalls von extern angreifbar sein."
Die Pressestelle des BER hat auf Anfrage von t-online mittlerweile geantwortet, dass man bereits dabei sei, das Problem zu beheben. So seien die Info-Systeme der Aufzüge bereits aktualisiert worden, lediglich bei zwei Aufzügen stehe dies noch aus. Dabei setze man laut Pressestelle übrigens nicht auf Windows, sondern auf eine Open-Source-Software. Die Steuerung der Fahrstühle laufe nicht über eine veraltete Windows-Version, erklärte die BER-Sprecherin weiter.
Damit dürften auch die Fahrstühle in Kürze für die baldige Eröffnung des BER gewappnet sein.
- Eigene Recherche
