Legitime Fernwartungssoftware (Remote Administration Tool, RAT) stellt eine ernste Gefahr für industrielle Netzwerke dar. Laut einer aktuellen Untersuchung von Kaspersky Lab sind RATs weltweit auf 31,6 Prozent der Rechner industrieller Kontrollsysteme (ICS) installiert – in Deutschland (35,1 Prozent), der Schweiz (33,2 Prozent) und Österreich (32,7 Prozent) sogar noch häufiger. Das Problem: Dass die Fernwartungssoftware im eigenen Netzwerk aktiv ist, wird von den Sicherheitsteams der betroffenen Organisationen oft erst bemerkt, wenn Cyberkriminelle diese zur Installation von Malware, Ransomware oder Kryptominern missbrauchen oder sich damit Zugriff auf Informationen beziehungsweise finanzielle Ressourcen des betroffenen Unternehmens verschaffen.

RATs sind legitime Softwaretools, mit denen Dritte aus der Ferne Zugriff auf einen Rechner erlangen können. Sie bieten Mitarbeitern einen ressourcensparenden Zugang ins Unternehmensnetzwerk, können allerdings auch von Cyberkriminellen für den unerlaubten Zugriff auf damit ausgestattete Rechner missbraucht werden. RATs werden beispielsweise in SCADA-Systemen oder HMIs (Human Machine Interfaces) von Arbeitsplatzrechnern zur Steuerung industrieller Prozesse eingesetzt. Weltweit wird jede fünfte Fernwartungssoftware (18,6 Prozent) automatisch zusammen mit der ICS-Software installiert. Dies führt zu einer mangelnden Sichtbarkeit für Systemadministratoren und macht RATs damit umso attraktiver für Angreifer.

Angriffsvektoren und mögliche Konsequenzen
Laut der Kaspersky-Untersuchung nutzen Angreifer RATs für

• unautorisierten Zugang zum Netz des angegriffenen Unternehmens,
• die Infektion des Netzwerks mit Malware zur Spionage und Sabotage,
• die Erpressung von Lösegeld durch Infektionen mit Ransomware,
• den direkten Zugriff auf finanzielle Ressourcen der angegriffenen Organisation über das infizierte Unternehmensnetz.

Die größte Gefahr durch RATs besteht darin, dass erweiterte Systemrechte erlangt werden können. Dies kann in der unbegrenzten Kontrolle über ein Industrieunternehmen resultieren und damit zu massiven finanziellen Verlusten bis hin zu physischen Schäden führen. Bei den Angriffen handelt es sich häufig um standardmäßige Brute-Force-Attacken, bei denen das Passwort durch Ausprobieren sämtlicher Zeichenkombinationen ermittelt wird. Neben dieser Methode könnten Angreifer jedoch auch Schwachstellen in der RAT-Software ausnutzen.