CSX-Zugsignale (Sobig)
Ein E-Mail-Wurm legte die Leit-IT der US-Güterbahn CSX lahm — Signale blieben dunkel, Züge standen still.
Die US-Güterbahn CSX steuert ihr Netz in 23 Bundesstaaten zentral aus Jacksonville: Signale, Dispatching (Zugdisposition), Betriebsleitung.
In 30 Sekunden
Am 20. August 2003 befiel der E-Mail-Wurm Sobig.F — damals die am schnellsten verbreitete E-Mail-Schädlingswelle überhaupt — das IT-Netz der US-Güterbahn CSX in der Zentrale in Jacksonville (Florida). Dadurch fielen Systeme für Signalsteuerung, Dispatching (Zugdisposition) und weitere Betriebsleit-Funktionen aus. Züge mussten anhalten oder stark verlangsamt fahren; auch Amtrak-Personenzüge standen zeitweise oder verspäteten sich um Stunden. Der Fall zeigt: Selbst wenn die Stellwerkstechnik sicher ausfällt, legt der Ausfall der Leit-IT den Verkehr lahm — bei Bahnen ist Verfügbarkeit das Sicherheitsthema.
Was geschah
2003
Kein gezielter Angriff auf die Bahn: Sobig.F verbreitete sich massenhaft über E-Mail-Anhänge. Getroffen wurde die Unternehmens- und Betriebsleit-IT der Güterbahn CSX, deren Streckennetz 23 US-Bundesstaaten östlich des Mississippi umfasst.
Der Angriffsweg
- August 2003: Der E-Mail-Wurm Sobig.F verbreitet sich massenhaft über infizierte Mail-Anhänge — laut Sicherheitsfirmen die bis dahin schnellste E-Mail-Epidemie.
- Der Wurm gelangt ins IT-Netz der CSX-Zentrale in Jacksonville (Florida), von der aus das ganze Bahnnetz gesteuert wird.
- In der Nacht auf den 20. August (gegen 01:15 Uhr Ortszeit) fallen dort Systeme für Signalsteuerung, Dispatching und weitere Betriebsleit-Funktionen aus.
- Ohne funktionierende Leit-IT bleiben Signale dunkel — Züge müssen sicherheitshalber anhalten oder stark verlangsamt fahren.
- Der Ausfall wirkt kurzzeitig im gesamten CSX-Netz (23 Bundesstaaten); im Laufe des Tages läuft der Betrieb mit Verzögerungen wieder an.
Auswirkung
Am Morgen waren zehn Amtrak-Personenzüge betroffen: Züge zwischen Pittsburgh und Florence (South Carolina) standen wegen dunkler Signale, Fernzüge verspäteten sich um vier bis sechs Stunden, im Raum Washington fielen über ein Dutzend Pendlerzüge aus. Auch der Güterverkehr verzögerte sich. Am Nachmittag war die Störung weitgehend behoben; Restverspätungen zogen sich bis in den Abend. Verletzt wurde niemand — die Signaltechnik fiel in den sicheren Zustand.
So schützt du dich
Fakten
- 20. August 2003
- Güterbahn CSX, Zentrale Jacksonville (Florida)
- E-Mail-Wurm Sobig.F
- Signal-, Dispatching- und weitere Betriebsleit-Systeme
- CSX-Netz in 23 US-Bundesstaaten, kurzzeitig ganzes Netz
- Amtrak-Züge gestoppt bzw. 4–6 Std. verspätet, Pendlerzüge gestrichen
- im Laufe des Tages, Restverspätungen
- keine — Signaltechnik fiel in den sicheren Zustand
Im Detail
Sobig.F: die schnellste E-Mail-Epidemie ihrer Zeit
Im August 2003 überrollte gleich eine Doppelwelle die Windows-Welt: Erst der Blaster-Wurm, eine Woche später Sobig.F. Sobig.F verschickte sich massenhaft selbst per E-Mail mit gefälschten Absendern und harmlos wirkenden Anhängen und galt laut der Sicherheitsfirma MessageLabs als die bis dahin am schnellsten verbreitete E-Mail-Schädlingswelle. Millionen infizierter Mails fluteten weltweit Firmennetze — darunter auch das der Güterbahn CSX.
Eine Nacht in Jacksonville
CSX steuert sein Streckennetz — rund 23 US-Bundesstaaten östlich des Mississippi — zentral aus der Konzernzentrale in Jacksonville, Florida. In der Nacht auf den 20. August 2003, gegen 01:15 Uhr Ortszeit, legte die Infektion dort Systeme für Signalsteuerung, Dispatching (die zentrale Zugdisposition) und weitere Betriebsleit-Funktionen lahm. Der Effekt war kurzzeitig im gesamten Netz spürbar.
Dunkle Signale, stehende Züge
Ohne die zentrale Leit-IT blieben Streckensignale dunkel. Für die Eisenbahn heisst das nicht Chaos, sondern Stillstand: Züge halten vor dunklen Signalen an oder dürfen nur nach speziellen Regeln langsam weiterfahren. Am Morgen waren zehn Amtrak-Personenzüge betroffen — zwischen Pittsburgh und Florence (South Carolina) standen Züge, Fernzüge sammelten vier bis sechs Stunden Verspätung, im Raum Washington fielen über ein Dutzend Pendlerzüge aus.
Fail-safe — und trotzdem lahmgelegt
Die Signal- und Stellwerkstechnik selbst verhielt sich korrekt: Sie fiel in den sicheren Zustand («fail safe»), niemand wurde gefährdet. Genau darin liegt die Lehre des Falls: Sicherheit im Sinne von «kein Unfall» war gewährleistet — aber der Verkehr stand trotzdem. Bei Bahnen, Häfen oder Flugsicherung ist die Verfügbarkeit der Leitsysteme selbst das Sicherheits- und Geschäftsthema. Ein Büro-Wurm genügte, um sie zu treffen.
Was der Fall lehrt
E-Mail-Würmer erreichen Betriebsnetze — 2003 wie heute, nur dass heute Ransomware statt Massen-Mails die typische Folge ist. Wer kritische Verkehrs- oder Produktionsleitsysteme betreibt, muss sie konsequent vom Büro-Netz trennen, E-Mail als Haupteinfallstor absichern und vor allem den Notbetrieb ohne zentrale IT planen und üben. Der CSX-Vorfall gilt bis heute als Standardbeispiel dafür, dass IT-Ausfälle direkt auf die physische Welt durchschlagen.