Internet als Waffe: Wie Russland die Datenströme der Krim umleitet

Einerseits wird im Ukrainekrieg die Kontrolle über das Internet zum wichtigen Faktor. Andererseits liefern neue Internetmessungen interessante Ergebnisse, wie ein Berliner Start-up zeigt.

Wer das Internet kontrolliert, kontrolliert den Datenverkehr und damit die Informationsflüsse. Dazu ist die Kontrolle über die entscheidenden Verbindungsknoten und Leitungen notwendig, denn darüber läuft inzwischen die gesamte Kommunikation. Nach der Annexion der Krim durch Russland lag die Kontrolle über den Datenverkehr weiterhin in den Händen der Ukraine, denn die Internetversorgung fand über das ukrainische Festland statt. Das konnte für Russland kein akzeptabler Zustand sein: Die Kontrolle der Verbindungen ermöglicht neben Spionage auch digitale Überwachung der Bevölkerung oder Desinformation. Von besonderem Interesse kann zudem die Identifizierung von Widerstandsgruppen und Partisanen durch Kommunikationsanalysen sein.

Schon kurz nach der Annexion der Krim verlegte Russland eigene Datenkabel dorthin

Es dauerte daher nicht lange, bis Russland ein Seekabel zwischen der Krim und Russland verlegen ließ. Das wurde von einem chinesischen Kabellegerschiff durchgeführt. Die Krim sollte völlig unabhängig von der Ukraine werden, auch das Internet. Über welche Wege die Daten im Netz fließen, fällt den Nutzern gewöhnlich nicht auf. Darin kann eine Gefahr liegen, wenn Veränderungen unangekündigt durchgeführt werden. Doch technisch lässt sich ein solcher Schritt sogar aus der Ferne diagnostizieren: „Wir konnten in Regionen auf der Krim ein Rerouting des Verkehrs in russische Netze erkennen“, erläutert Johannes Klick während eines Vortrags auf dem diesjährigen BSI-Kongress den geschilderten Vorgang. Er ist Geschäftsführer und Mitgründer des Berliner Start-ups Alpha Strike Labs, das sich auf solche Analysen spezialisiert hat.

Alpha Strike konnte noch weitere Veränderungen der Datenflüsse in der Ukraine feststellen. So seien später auch die russisch besetzten Gebiete der Ukraine über die Krim an Russlands Internet angebunden worden. Laut einem Bericht der New York Times (NYT) hatten die Russen massiv Druck, teilweise sogar mit Waffengewalt, auf Internetversorger (ISP) ausgeübt, Daten über russische Leitungen umzulenken.

Lesen Sie auch:

Internetplattformen im Visier der EU

KI als digitaler Wächter gegen Kriminalität im Internet

Iris2: EU will sich mit eigenem Internet per Satellit unabhängig machen

Besetzte Gebiete der Ukraine wurden vom Internet getrennt

Auch die ab 2022 von Russland eroberten Regionen wie Mariupol oder Cherson wurden sofort vom ukrainischen Internet getrennt und durch Russland via Krim an das Internet angebunden. Oftmals sei damit auch die Blockade sozialer Netzwerke wie Facebook, Instagram und Twitter und ukrainischer Nachrichten-Webseiten verbunden, wie die NYT berichtet. „Das Erste, was die Besatzer tun, wenn sie auf ukrainisches Gebiet kommen, ist, die Netze abzuschalten“, wird Stas Prybytko vom ukrainischen Ministerium für digitale Transformation von der NYT zitiert.

Die Kontrolle über die Internetinfrastruktur betrifft in der Regel auch Telefongespräche sowie Fernsehen und Radio. Denn durch die sogenannte IP-Konvergenz wurde alles auf Übertragung via Internet umgestellt. Dazu wurden eigene Datenprotokolle geschaffen, wie VOIP (Voice over IP).

Die Vorgänge unterstreichen die Relevanz der Internetinfrastruktur bei militärischen Konflikten. „Es wird deutlich, dass die Übernahme von ISP oder das Umrouten des Traffics ein militärisches Ziel ist“, beschreibt Johannes Klick von Alpha Strike die Erkenntnisse aus den Analysen. Er ergänzt: „Das konnten wir mit unseren Analysen vielfach nachvollziehen.“

Kleinste Veränderungen der Internetverbindungen können registriert werden

Die Situation vor Ort änderte sich erst, als Cherson zurückerobert wurde. Nun wurden die russischen Internetverbindungen getrennt und die Gebiete wieder an das ukrainische Internet angeschlossen. „Auch dieses anschließende Rerouting retour können wir in unseren Analysen sehen“, erklärt Klick. Das gelingt dem Start-up mit eigenen Analysemethoden vorhandener Internetstrukturdaten. „Wir haben 2000 globale IP-Adressen und scannen alle vier Stunden über 3 Mrd. IP-Adressen über diverse Ports und Protokolle“, stellt Klick dar.

Über die jeweiligen Ports und Protokolle werden einzelne Dienste wie Web, E-Mail oder Telefonie abgewickelt. Zusätzlich verfügt Alpha Strike über ein „Blackhole-Netzwerk“, dessen Sensoren unerkannt bleiben und kleinste Veränderungen an der Netzverfügbarkeit und -infrastruktur ermitteln können, erklärt er.

Lesenswert: KI als digitaler Wächter gegen Kriminalität im Internet

Kriegszerstörungen hinterlassen auch in den Internetstrukturen ihre Spuren

Doch Alpha Strike konnte in der Ukraine noch mehr feststellen. Das Ausmaß der Zerstörung durch russische Bombardierungen hinterlässt Spuren, die sich im Internet widerspiegeln. „Wir können unter anderem erkennen, wenn Verfügbarkeiten aufgrund bestimmter externer Ereignisse wegbrechen“ und damit einzelne Dienste in bestimmten Regionen ausfallen, führt Klick aus. Diese externen Ereignisse können Beschuss oder Bombardierung sein, von denen Gateways und andere Netzwerkgeräte bei ISP betroffen sind.

„In der Ukraine sind in gewissen Bereichen plötzlich sehr viele Services weggefallen“, berichtet Klick. Daraufhin habe man die Messergebnisse mit Daten von vor dem Krieg verglichen und konnte das Ausmaß ermitteln. „Beispielsweise ist in Mariupol zu Beginn des Krieges die Netzverfügbarkeit um 90 % weggebrochen. Dienste sind extrem massiv weggebrochen, ob DNS oder Webserver“, ergänzt er. Das Wall Street Journal habe dazu ein 3D-Profil mithilfe von Radardaten der ESA erstellt, führt Klick im Gespräch mit VDI nachrichten aus. Da habe man sehen können, dass die durchschnittliche Haushöhe in der Stadt entsprechend geringer war, weil viele Häuser zerstört waren. „Der Artikel ist somit ein Beleg für unsere Messungen“, sagt er. Augenzeugen und Journalisten vor Ort hätten ebenfalls das ermittelte Ausmaß genannt.

Messdaten aus der Ukraine verfeinert

Die junge Firma wollte es nicht dabei belassen. Nach intensiver Forschung wurde die Methodik weiter verfeinert: „Wir haben uns dann entschlossen, in der Ukraine noch höherauflösende Scans zu durchzuführen. Dazu haben wir statische IP-Adressen in der Ukraine identifiziert und scannen diese jetzt alle vier Stunden. Die sind verteilt über die gesamte Ukraine“, beschreibt Klick die Erweiterung. Damit lassen sich nun sehr genau und sehr zeitnah Ausfälle diagnostizieren.

Jedoch sind die Ursachen für Internetausfälle nicht immer nur Zerstörungen von Netzwerkgeräten geschuldet. Im Herbst 2022 veränderte Russland seine Strategie. „Dann haben die Russen im Oktober 2022 zum ersten Mal massiv die ukrainische Energieinfrastruktur angegriffen“, etwa Kraftwerke oder Umspannwerke, erzählt Klick.

Es gebe dazu eine Open-Source-Landkarte, die aus verschiedenen Quellen wie Augenzeugenberichten oder Social-Media-Daten zusammensammelt ist, daraus wurde eine Karte der von Stromausfällen betroffenen Gebiete erstellt. Die dort verzeichneten Ausfälle habe man mit den eigenen Messungen belegen können. Gegen- und Kontrollmessungen hätten eine hohe Korrelation zu den Angriffsfolgen ergeben und die hohe Zuverlässigkeit der Messungen von Alpha Strike bestätigt.

Gelieferte Stromgeneratoren erhöhen die Ausfallsicherheit

Aber die Messungen zeigten noch mehr. Man habe auch sehen können, dass nach Angriffen die durch Stromausfall bedingten Internetausfälle anfänglich durchschnittlich zwölf Stunden dauerten und es danach ca. drei Tage bedurfte, ehe die Verfügbarkeit wieder auf dem Niveau von vor dem Angriff war. Schon ein halbes Jahr später habe sich die Situation deutlich verbessert, erläutert Klick. Nach neuen Angriffen und dadurch verursachten Stromausfällen dauerte es meist nur noch acht Stunden, bis das Niveau von vor dem Angriff wiederhergestellt war. Alpha Strike hat die Ursache ermittelt: „Die EU und die USA haben viele Stromgeneratoren geliefert, die Ukraine ist dadurch resilienter geworden“, berichtet er. Die meisten Internetversorger könnten auf Notstromversorgung zurückgreifen.

Die von Alpha Strike entwickelten Verfahren können in verschiedenen Situationen eingesetzt werden. Klick nennt Beispiele: „Wir haben eine Methode entwickelt, um bei Großschadensereignissen solche Messungen durchzuführen. Das ist zum Beispiel verwendbar bei großen Erdbeben.“ Inzwischen haben viele Unternehmen das Potenzial der Methodik erkannt und nutzen diese für die Identifikation weltweit verteilter Systeme, um etwa eine Analyse von deren Sicherheitsproblemen vorzunehmen.