Wer Sie hat, hat Ihre Auftraggeber.

In dieser Branche entscheidet die Zeit

Sendung, Fenster, Vertragsstrafe — was den Lauf aufhält, verliert. Sicherheit ist in dieser Rechnung fast immer das, was zuletzt drankommt und zuerst wegfällt: das Zertifikat, das man nächste Woche tauscht, die Schnittstelle, die man später absichert, das Konto des Fahrers, das nach dem Wechsel offen bleibt. Keine dieser Entscheidungen ist falsch getroffen worden. Sie sind unter Termindruck getroffen worden, und sie summieren sich.

Was wir vorfinden

Datenbank- und Logistiksysteme, deren Schnittstellen seit Jahren unverändert laufen und Daten im Klartext übergeben. Verschlüsselung ist die Ausnahme, und wo sie fehlt, wird sie durch andere Konstruktionen ersetzt — ein zusätzliches Netzwerk, eine Einschränkung auf Adressbereiche, ein Zwischenschritt über einen Server, den alle kennen. Virtuelle Desktops sind im Einsatz, aber wer dort welche Sitzung öffnet und was sie erreichen darf, lässt sich selten überblicken. Findet sich doch ein EDR, liefert er Meldungen an eine Stelle, an der sie niemand abarbeitet.

Bei mittleren und kleineren Speditionen ist selbst das unwahrscheinlich. Dort stehen eine Firewall und ein Virenschutz, und damit endet es.

Das passt zu dem, was die ENISA in ihrem Bedrohungsbild für den Verkehrssektor beschreibt: Die Angriffe treffen ganz überwiegend die IT und die Abwicklung — Buchung, Abrechnung, Kundendaten — und nicht die Leittechnik. Ransomware steht dort mit Abstand vorn, gefolgt von Datendiebstahl.

Der Dienstleister ist der Weg zum Kunden

Die größte Bedrohung dieser Branche ist nicht das eigene Haus, sondern die Stellung darin. Wer den Logistikdienstleister hat, hat faktisch alles: was ein Kunde bestellt, was er versendet, an wen, in welcher Menge, zu welchem Preis und zu welchem Termin. Der Angriff nimmt nicht den Weg über den Absender oder den Empfänger — er nimmt den Weg über den, dem beide vertrauen, und benutzt genau dieses Vertrauen weiter.

Damit verschiebt sich die eigentliche Aufgabe. Sie besteht nicht nur darin, einen Angriff abzuwehren, sondern darin, gegenüber Auftraggebern belegen zu können, dass keine Zugriffe stattgefunden haben und keine Daten abgeflossen sind. Wer das nicht kann, verliert das Mandat auch dann, wenn nichts passiert ist.

Dass das Ziel dabei nicht immer die Daten selbst sind, zeigt der Hafen Antwerpen: Zwischen 2011 und 2013 verschafften sich Angreifer im Auftrag eines Schmuggelrings Zugang zu den Systemen zweier Containerterminals, um Abholzeiten und -orte präparierter Container zu ändern und sie vor dem rechtmäßigen Frachtführer abzuholen. Der Angriff galt der IT, die Beute stand auf dem Hof.

Wie weit der Ausfall reicht, wenn es doch die Systeme trifft, ist ebenfalls dokumentiert. NotPetya legte 2017 die weltweite IT einer der größten Reedereien lahm, Terminals in mehr als hundert Ländern gleichzeitig. Ein australischer Logistikkonzern wurde 2020 innerhalb weniger Monate zweimal von verschiedenen Gruppen getroffen, beim zweiten Mal mit Abfluss von Verträgen und Personaldaten. Ein global tätiger Speditionsdienstleister schaltete im Februar 2022 den Großteil des weltweiten Betriebs ab und war rund drei Wochen eingeschränkt — nach eigener Mitteilung ohne die Möglichkeit, Sendungen zu disponieren oder Zollvorgänge abzuwickeln.

Mit dem Bestand ist das nicht zu leisten

Strukturen, die vor zwanzig Jahren im Netzwerk üblich waren, beantworten die Frage nicht, die der Auftraggeber stellt. Eine Firewall und ein Virenschutz sagen nichts darüber aus, wer wann worauf zugegriffen hat.

Wie man da herauskommt

Schnittstellen bekommen eine Identität. Jede Datenübergabe an Auftraggeber, Frachtführer und Plattformen läuft authentifiziert und verschlüsselt, mit benannten Gegenstellen statt erlaubten Adressbereichen.

Zugriff bekommt ein Ende. Subunternehmer, Fahrer und externe Disponenten bekommen Zugänge auf Zeit, nicht auf Dauer. Der häufigste Befund ist das Konto, das nach dem Wechsel offen blieb.

Der virtuelle Desktop wird zur kontrollierten Zone. Wer ihn öffnet, was er erreichen darf und was ihn verlässt, ist festgelegt und wird mitgeschrieben.

Eine Quelle der Wahrheit. Identitäten, Rechte und Zustände liegen an einer Stelle und versioniert. Ohne das bleibt die Zusage an den Auftraggeber eine Behauptung.

Nachweis statt Beteuerung. Zugriffe auf Sendungs- und Kundendaten werden protokolliert und zusammengefasst, sodass sich die Frage „ist bei euch etwas abgeflossen“ mit einem Dokument beantworten lässt.

Was sich als erstes lohnt

Eine Aufnahme der Schnittstellen und der Fremdzugänge, bevor irgendetwas beschafft wird. In dieser Reihenfolge: Welche Systeme tauschen heute Daten im Klartext und mit wem; wer von außen hat einen Zugang und seit wann; was darf eine Sitzung im virtuellen Desktop erreichen; und ob sich für die letzten zwölf Monate belegen ließe, wer auf welche Kundendaten zugegriffen hat.

Quellen: ENISA Transport Threat Landscape, März 2023; BSI-Gesetz, Anlage 1, in der Fassung des NIS-2-Umsetzungsgesetzes; BSI-KritisV § 9 mit Anhang 7. Vorfälle nach zeitgenössischer Berichterstattung und, im Fall des Speditionsdienstleisters, nach der Mitteilung des Unternehmens.