Ein Air Gap ist eine Sicherheitsmaßnahme, bei der ein Computer oder Netzwerk physisch vom Internet und anderen nicht vertrauenswürdigen Netzen getrennt ist – ohne kabelgebundene oder drahtlose Verbindung.
Wie ein Air Gap funktioniert
Ein Air-Gapped-System hat keinen Netzwerkpfad zur Außenwelt. Daten lassen sich nur physisch übertragen – per USB-Stick, optischem Datenträger oder speziellen Einweg-Geräten, sogenannten Datendioden. Air Gaps werden für militärische und als Verschlusssache eingestufte Netze, industrielle Steuerungssysteme, Kern- und Energieanlagen, Zahlungs- und Wahlsysteme, die Aufbewahrung kryptografischer Schlüssel und für Offline-Datensicherungen eingesetzt.
Warum Air Gaps wichtig sind – und wie sie überwunden werden
Die Isolation beseitigt die wichtigste Angriffsfläche, ist aber nicht absolut. Wechseldatenträger und menschliches Verhalten sind die Schwachstellen:
- Stuxnet (2010 entdeckt) gelangte vermutlich über infizierte USB-Sticks in die vom Netz getrennte Urananreicherungsanlage Natanz im Iran und sabotierte dort Zentrifugen.
- Agent.btz (2008) – ein Computerwurm, der sich über einen USB-Stick in Netze des US-Militärs ausbreitete; das löste die Bereinigungsaktion Buckshot Yankee und ein Verbot von Wechseldatenträgern aus.
- Spionage-Frameworks, die etwa der Equation Group zugeschrieben werden, und spätere APT-Werkzeuge nutzten versteckte Speicherbereiche auf USB-Sticks, um Daten über den Air Gap zu schleusen.
Forscher, vor allem an der Ben-Gurion-Universität in Israel, haben zudem verdeckte Kanäle demonstriert, die Daten aus Air-Gapped-Rechnern über Lüftergeräusche, LED-Blinken, elektromagnetische Abstrahlung und Wärme ausleiten – eine Form des Seitenkanalangriffs. Diese Kanäle sind langsam und setzen voraus, dass zuvor Malware eingeschleust wurde. In der Praxis haben viele „isolierte“ Netze versteckte Verbindungen, etwa Wartungslaptops oder Fernzugänge von Dienstleistern.
Best Practices
- Wechseldatenträger streng kontrollieren und scannen; dedizierte Transferstationen nutzen.
- Datendioden einsetzen, wo Daten nur in eine Richtung fließen dürfen.
- Regelmäßig prüfen, dass keine undokumentierten Verbindungen bestehen.
- Physische Sicherheit und Überwachung auch innerhalb des isolierten Netzes umsetzen.
