Fünf Lücken, aber kein Anlass für Luftfahrt-Panik
Die US-Cybersicherheitsbehörde CISA dokumentiert fünf CPDLC-Schwachstellen in der digitalen Kommunikation zwischen Cockpit und Flugsicherung. Betroffen ist CPDLC über ATN-B1, ein weltweit eingesetztes System für textbasierte Freigaben und Meldungen. Die Kennungen reichen von CVE-2025-71409 bis CVE-2025-71413. Das klingt dramatisch. Die belastbare Einordnung ist jedoch technischer und deutlich weniger kinotauglich.
Das offizielle CISA-Advisory ICSA-26-219-01 beschreibt Angriffe unter spezifischen Laborbedingungen. Eine öffentliche Ausnutzung ist nach Angaben der Behörde nicht bekannt. CISA spricht zudem nicht von einer unmittelbaren unsicheren Flugzeuglage. Wer daraus einen beliebigen Fernzugriff auf Flugzeuge macht, lässt entscheidende Voraussetzungen und die vorhandenen betrieblichen Sicherungen verschwinden.
Relevant sind die Funde trotzdem. Sie zeigen, wie technische Schulden in langlebiger Sicherheitsinfrastruktur wirken: Fehlen Authentifizierung und Integrität auf Protokollebene, lässt sich Vertrauen nicht einfach nachträglich per normalem Softwarepatch verteilen. Die möglichen Folgen betreffen irreführende Nachrichten, abgebrochene Sitzungen, verzögerte Freigaben und zusätzliche Belastung für Besatzungen und Lotsen.
Die betroffenen CVEs sollten deshalb als präzise technische Referenzen verwendet werden, nicht als Sammelbegriff für jede Funkstörung. Das erleichtert den Austausch zwischen Herstellern, Betreibern und Behörden. Eine klare Benennung schützt auch vor Überreaktionen: Nicht jede verlorene Sitzung ist ein Angriff, und nicht jede normale Funkabweichung bestätigt eine der fünf Schwachstellen.
Was CPDLC im Flugbetrieb eigentlich leistet
Controller-Pilot Data Link Communications, kurz CPDLC, ergänzt den Sprachfunk durch strukturierte digitale Nachrichten. Lotsen können etwa Freigaben übertragen, Crews bestätigen sie über das System. Das reduziert Missverständnisse durch schlechte Sprachqualität, Akzente oder überfüllte Funkkanäle. Gerade in Bereichen mit großen Entfernungen ist die Datenverbindung ein wichtiges Werkzeug – aber kein autonomer Pilot und keine alleinige Sicherheitsinstanz.
ATN-B1 transportiert solche Meldungen über ältere Funkverbindungen, die laut CISA weder verschlüsselt noch authentifiziert sind. Empfänger können daher auf dieser Ebene nicht kryptografisch sicher feststellen, ob eine Nachricht wirklich von der erwarteten Gegenstelle stammt und unverändert blieb. Das ist der gemeinsame technische Nenner der fünf Schwachstellen, auch wenn die konkreten Angriffswege unterschiedliche Frames und Wirkungen betreffen.
In sicherheitskritischen Systemen wird Risiko durch mehrere Ebenen begrenzt: Verfahren, Ausbildung, Plausibilitätsprüfung, Sprachfunk und technische Redundanz greifen zusammen. Diese Ebenen sind wichtig, heben aber den Protokollmangel nicht auf. Sicherheitsarchitektur sollte menschliche Kontrolle unterstützen, nicht dauerhaft als Ersatz für fehlende technische Herkunftsnachweise einplanen. Menschen sind eine Verteidigungslinie, keine kostenlos skalierende Prüfsumme.
CPDLC und Sprachfunk ergänzen einander. Die digitale Übertragung kann standardisierte Texte zuverlässig darstellen, während Sprachfunk Rückfragen und flexible Klärung ermöglicht. Sicherheitsanalysen müssen beide Kanäle gemeinsam betrachten. Wird einer gestört, steigt die Last des anderen. Diese Wechselwirkung entscheidet darüber, ob ein technischer Fehler betrieblich kaum auffällt oder eine Kette zusätzlicher Aufgaben auslöst.
So könnte eine fingierte Bodenstation Nachrichten einschleusen
Ein beschriebenes Szenario nutzt eine fingierte Bodenstation, um CPDLC-Nachrichten an ein Flugzeug zu senden. Ohne belastbare Authentisierung kann das System eine manipulierte Nachricht als plausiblen Verkehr behandeln. Denkbar sind unerwartete oder irreführende Freigaben sowie falsche Status- und Notfallmeldungen. Ein erfolgreicher Angriff erfordert jedoch passende Funktechnik, Protokollkenntnis, Reichweite und einen geeigneten betrieblichen Kontext.
Die Wirkung einer falschen Nachricht ist nicht automatisch die Ausführung. Crews arbeiten mit festgelegten Verfahren und können Unstimmigkeiten über Sprachfunk klären. Trotzdem kostet jede glaubwürdig wirkende Manipulation Aufmerksamkeit und Zeit. Besonders problematisch wird es, wenn eine Meldung in eine ohnehin arbeitsintensive Phase fällt oder mehrere Beteiligte zu parallelen Rückfragen zwingt. Sicherheit hängt dann stärker von schneller Erkennung und sauberer Koordination ab.
Falsche Notfall- oder Statusmeldungen können nach dem Advisory Ressourcen fehlleiten und Fehlreaktionen bei Besatzungen, Lotsen oder Bodenpersonal auslösen. Der relevante Schaden ist deshalb nicht nur eine einzelne falsche Freigabe. Auch eine bewusst erzeugte Informationslage kann Kapazitäten binden. Bei kritischer Infrastruktur ist Verwirrung oft das Produkt; spektakuläre Kontrolle ist dafür gar nicht nötig.
Ein realistischer Angriff müsste außerdem zur aktuellen Kommunikationssituation passen. Unpassende Adressierung, falsche Formate oder widersprüchliche Inhalte erhöhen die Chance einer Entdeckung. Das senkt das Risiko, hebt es aber nicht auf. Gute Angreifer nutzen bekannte Abläufe, und hohe Arbeitslast reduziert die verfügbare Zeit für zusätzliche Prüfungen. Genau deshalb gehören Verfahren zum Sicherheitsmodell.
Manipulierte Kontrollframes können Sitzungen beenden
Weitere Schwachstellen betreffen manipulierte Kontrollframes. Damit kann ein Angreifer laut CISA einzelne CPDLC-Sitzungen beenden und den Rückfall auf Sprachfunk erzwingen. Sprachfunk ist ein vorgesehener Ausweichweg, aber seine Kapazität ist begrenzt. Wenn zusätzliche Kommunikation unerwartet dorthin verlagert wird, steigen Funklast und Koordinationsbedarf – ausgerechnet in dem Moment, in dem alle Beteiligten die Ursache klären müssen.
Broadcast-Frames können dem Advisory zufolge mehrere Flugzeuge gleichzeitig vom System trennen. Dadurch können Freigaben verzögert und Fluglotsen zusätzlich belastet werden. Das ist eher ein Verfügbarkeits- und Arbeitslastproblem als die oft beschworene direkte Fernsteuerung. Der Unterschied ist redaktionell entscheidend: Ein gestörter Kommunikationskanal kann sicherheitsrelevant sein, ohne dass ein Angreifer Kontrolle über Flugsteuerung oder Bordcomputer erhält.
Für Verteidiger sind solche Denial-of-Service-Effekte unangenehm, weil sie legitime Fallbacks als Belastungsverstärker verwenden. Die Rückfallebene funktioniert, muss aber plötzlich mehr Verkehr aufnehmen. Ähnliche Muster finden sich auch in anderen kritischen Infrastrukturen, in denen digitale Störungen analoge Betriebsprozesse überlasten. Unser Bericht zum Cyberangriff auf Wasserwerke zeigt, warum die betriebliche Wirkung oft wichtiger ist als das Schlagwort „Hack“.
Bei mehreren gleichzeitig getrennten Sitzungen ist die räumliche und zeitliche Korrelation besonders wertvoll. Einzelne technische Ausfälle können normal sein; eine ungewöhnliche Häufung kann auf Störung, Fehlkonfiguration oder absichtliche Einwirkung hindeuten. Betreiber brauchen dafür abgestimmte Zeitquellen und gemeinsame Ereignisformate. Ohne diese Grundlagen bleibt eine spätere Analyse unnötig spekulativ.
CVSS-Werte erklären nicht das gesamte Betriebsrisiko
Zwei der Lücken erreichen nach CVSS 3.1 einen hohen Basiswert von 7,1. Weitere Bewertungen liegen bei 5,3 beziehungsweise nach CVSS 4.0 bei 6,0. Solche Werte helfen bei der technischen Priorisierung, bilden den Flugbetrieb aber nicht vollständig ab. Funkreichweite, notwendige Spezialkenntnisse, Zeitpunkt, lokale Verfahren und verfügbare Ausweichkanäle beeinflussen die reale Wirkung erheblich.
Eine hohe Bewertung beweist weder eine laufende Angriffswelle noch eine einfache Ausnutzung. Umgekehrt bedeutet ein mittlerer Wert nicht, dass eine Störung im falschen Moment belanglos wäre. Teams sollten deshalb den Angriffspfad und die betriebliche Folge getrennt betrachten. Die erste Frage lautet: Wie wahrscheinlich ist ein erfolgreicher Angriff unter realen Bedingungen? Die zweite: Welche Belastung entsteht, wenn er gelingt?
CISA nennt derzeit keine technische Behebung. Das ist bei einem grundlegenden Protokolldefizit nicht überraschend. Kryptografische Authentisierung über eine bestehende internationale Infrastruktur einzuführen, betrifft Endgeräte, Bodenstationen, Standards, Zertifikate, Interoperabilität und Zulassung. Ein Hotfix am Dienstagabend wäre angenehm. Die Luftfahrt hat hier leider eher ein Migrationsprogramm als einen Patchdialog.
CVSS bewertet technische Eigenschaften einer Schwachstelle, nicht Verspätungsminuten, Frequenzbelegung oder lokale Verkehrsdichte. Sicherheits- und Betriebsverantwortliche sollten deshalb gemeinsame Szenarien entwickeln. Ein technisch gleicher Angriff kann in ruhiger Umgebung beherrschbar sein und in einer hoch belasteten Phase deutlich mehr Aufmerksamkeit binden. Priorisierung muss beide Perspektiven sichtbar zusammenführen.
Was Betreiber und Sicherheitsverantwortliche jetzt tun können
Ohne verfügbare technische Behebung rücken Erkennung und Verfahren in den Vordergrund. Betreiber können Anomalien in CPDLC-Sitzungen, ungewöhnliche Abbrüche und unplausible Nachrichtenmuster systematisch erfassen. Meldungen aus Cockpit und Flugsicherung sollten zusammengeführt werden, damit wiederkehrende Funkmerkmale oder räumliche Häufungen sichtbar werden. Entscheidend ist eine Meldekultur, die Auffälligkeiten dokumentiert, ohne jede Störung voreilig zum Angriff zu erklären.
Besatzungen und Lotsen benötigen klare Kriterien für die Verifikation unerwarteter Anweisungen und den Wechsel auf alternative Kommunikationswege. Übungen sollten nicht nur den technischen Ausfall abbilden, sondern auch absichtlich irreführende Informationen. Dabei geht es nicht darum, Misstrauen gegen jede digitale Freigabe zu säen. Ziel ist ein routinierter, schneller Abgleich, wenn Inhalt, Zeitpunkt oder Systemverhalten nicht zusammenpassen.
Sicherheitsverantwortliche sollten außerdem Abhängigkeiten inventarisieren: Welche Flotten, Bodenkomponenten und Regionen verwenden ATN-B1, welche Logs sind verfügbar und wie lange werden sie gespeichert? Beratung aus allgemeinen Schwachstellenprozessen bleibt nützlich, muss aber an die Luftfahrt angepasst werden. Wie Behördenhinweise priorisiert werden können, ordnet unser Beitrag zur CISA-KEV-Priorisierung ein; die aktuelle CPDLC-Meldung ist damit nicht automatisch gleichzusetzen.
Auch Zulieferer und Wartungspartner gehören in die Vorbereitung. Ansprechpartner, Eskalationswege und verfügbare Telemetrie sollten vor einem Vorfall bekannt sein. Wenn eine verdächtige Meldung erst durch mehrere Organisationen gereicht werden muss, gehen Kontext und Zeit verloren. Gemeinsame Übungen können zeigen, an welcher Übergabe technische Details oder operative Bedeutung typischerweise verschwinden.
Die eigentliche Aufgabe ist eine sichere Migration
Die fünf CPDLC-Schwachstellen machen eine bekannte Architekturfrage konkret: Wie lässt sich kryptografisches Vertrauen in ein globales, langlebiges und streng reguliertes Kommunikationssystem integrieren? Eine tragfähige Lösung muss Herkunft, Integrität, Schlüsselverwaltung, Ausfallverhalten und internationale Interoperabilität verbinden. Jede neue Schutzschicht darf den sicheren Betrieb bei Zertifikats- oder Netzproblemen nicht selbst blockieren.
Bis eine solche Migration umgesetzt ist, bleiben mehrschichtige Kontrollen entscheidend. Dazu gehören Plausibilitätsprüfung, Rückbestätigung, Sprachfunk, Training, Monitoring und der Austausch über beobachtete Anomalien. Diese Maßnahmen reduzieren Risiken, sind aber keine Ausrede, den technischen Kern auf unbestimmte Zeit unangetastet zu lassen. Wer Legacy-Protokolle betreibt, muss zumindest transparent benennen, wo Vertrauen angenommen statt nachgewiesen wird.
Die nüchterne Schlussfolgerung lautet daher weder „alles sicher“ noch „Flugzeuge sind hackbar“. CISA beschreibt laborgezeigte Angriffe mit relevanten betrieblichen Folgen, aber ohne bekannte öffentliche Ausnutzung und ohne unmittelbare unsichere Flugzeuglage. Ernst nehmen heißt hier: Verfahren schärfen, Signale sammeln und die Protokollmigration planen. Panik wäre billiger, technisch aber von begrenztem Nutzen.
Fortschritt sollte anhand überprüfbarer Meilensteine gemessen werden: bessere Erkennung, standardisierte Meldungen, getestete Fallbacks und schließlich authentisierte Kommunikation. Ein langfristiges Ziel ohne Zwischenkontrollen konserviert nur das Risiko. Gleichzeitig darf eine Übergangslösung die internationale Kompatibilität nicht beschädigen. In globaler Luftfahrt ist eine lokal perfekte, aber inkompatible Sicherheitsfunktion praktisch keine Lösung.
Was halten Sie von dem Thema? Hier können Sie mit anderen Leserinnen und Lesern ins Gespräch gehen.
Mitreden & diskutieren
Ihre Meinung zählt — teilen Sie Gedanken, Fragen oder Erfahrungen zu diesem Artikel.