Ganz schön smart!

Wir leben in einer spannenden Zeit. Nicht nur unsere Kommunikation ist inzwischen vernetzt, auch Gegenstände sind es zunehmend. Der Fachmann spricht dabei vom „internet of things“ (IoT). Doch nicht nur Gegenstände wie Ihre Waschmaschine oder die Stereoanlage sind heute vernetzt. Ganze Industrieanlagen und kritische Infrastrukturen sind es ebenfalls. Das Stichwort lautet „Industrie 4.0“.

Stellen Sie sich vor…

…Sie kommen morgens in Ihre Küche. Im Vorbeilaufen geben Sie Ihrer Kaffeemaschine den Befehl, eine Tasse Kaffee zu machen. Was Sie jedoch in Ihrer Tasse vorfinden, hat mit Kaffee so gar nichts zu tun. Jemand hat sich in Ihre Kaffeemaschine gehackt und die hinterlegten Steuerzeiten der Rezepte verändert. Leider hat Ihre gehackte Kaffeemaschine dem Kühlschrank schon gemeldet, dass sie zukünftig 1.250 Liter Milch im Monat benötigt, um den Milchkaffee-Bedarf des Hauses zu decken. Ihr Kühlschrank hat die Milch bereits bestellt, Lieferung morgen. Bis jetzt klingt es ärgerlich, vielleicht nach einem Kinderstreich. Stellen Sie sich aber vor, jemand hackt den regionalen Energie-Versorger, Telekommunikationsanbieter, die Trinkwasseraufbereitung, die Verkehrsleitzentrale Ihrer Stadt oder die Rettungsleitstelle. Gar nicht mehr so lustig, wie?

Wie sicher sind Industrie und kritische Infrastruktur?

Die Bedrohungen für Industrieanlagen durch Cyberangriffe nehmen zu. Sie werden aggressiver, technisch komplexer und sind besser organisiert denn je. Um dieser Entwicklung zu begegnen, muss die Sicherheit von Endgeräten, Maschinen und Anlagen über den gesamten Lebenszyklus hinweg gewährleistet sein.

Die Welt der vernetzten Dinge entwickelt sich zu einem milliardenschweren Wachstumsmarkt. Durch das IoT werden Alltagsgegenstände, Fahrzeuge, Häuser, Fabriken und ganze Städte miteinander vernetzt. Das eröffnet ungeahnte Möglichkeiten für Verbraucher sowie enorme Effizienzsteigerungen und resultierende Kostensenkungen für Unternehmen. In der Fabrik von morgen sind die Abläufe digital vernetzt. Dadurch kann nicht zuletzt die Wertschöpfungskette vom Lieferanten bis zum Endkunden vorangetrieben werden. Trotz aller Chancen birgt eine zunehmende Vernetzung bekanntlich auch Risiken, deren Art und Ausmaß oftmals nicht bekannt sind – von Datendiebstahl und Serviceunterbrechungen bis hin zu zum gänzlichen Kontrollverlust über die einzelnen Geräte oder Anlagen.

Cybersicherheit als Wertschöpfungsfaktor

Cybersicherheit muss zukünftig als Teil der Wertschöpfung verstanden werden

Eine der grundlegenden Voraussetzungen dafür, dieses Unterfangen „Digitalisierung“ auch zum Erfolg zu bringen, ist eine spezifische, eine an die Unternehmensbelange angepasste Cybersicherheit. Um das Potenzial der Industrie 4.0 und der bevorstehenden Digitalisierung im Ganzen nutzen zu können, ist der sichere und vertrauensvolle Umgang mit Daten unabdingbar. Zudem muss ein verlässlicher Schutz der unternehmensübergreifenden Kommunikation vor Angriffen von außen gewährleistet sein. Dieses führt zunehmend zu einer Veränderung der Wahrnehmung von Cybersicherheit. In vielen Unternehmen wandelt sich Cybersicherheit vom puren Kostenfaktor zu einem Teil der Wertschöpfungskette. Die Idee dahinter ist klar: Nur die „smarte“ Fabrik von morgen, die in der Lage ist, verlässlich und ohne Ausfallzeit gleichbleibend hochwertige Produkte zu entwickeln und zu produzieren, wird den zukünftigen Markt- und Wettbewerbsanforderungen gerecht werden können.

Um dies aber zu leisten, muss die Sicherheit von Endgeräten, Maschinen und Anlagen über den gesamten Lebenszyklus hinweg gewährleistet sein. Außerdem sollten die Aspekte der Sicherheit bereits in der Planung des Produkts berücksichtigt werden. Unternehmen müssen Pläne machen, wie sie bei einem Sicherheitsvorfall adäquat mit Cyberangriffen und deren Auswirkungen umgehen wollen. Das gilt gerade für den Kontakt mit internen und externen Partnern. Denn diese Attacken werden, da sind sich fast alle Experten einig, immer mehr zunehmen. Und zwar an Häufigkeit und Intensität.

Allerdings sollten sich nicht nur Industrieanlagen in Zukunft warm anziehen. Auch im IoT – also der steigenden Vernetzung von Millionen intelligenter (Alltags-) Geräte und Sensoren – werden Sicherheitsfragen relevant. Das Internet der Dinge kann den Alltag leichter machen, neue Möglichkeiten eröffnen. Es ergeben sich aber zwangsläufig auch hier neue Angriffsflächen. Im privaten Umfeld etwa kommunizieren bereits der Fernseher oder Kühlschrank mit dem Lieferanten. Und selbst eigentlich Harmloses birgt plötzlich Gefahren. Wer hätte vor Kurzem noch gedacht, dass die Bundesnetzagentur gegen spionagefähiges Kinderspielzeug vorgeht?

Was wir tun sollten?

Umfängliche Schutzmaßnahmen sind also unumgänglich – ob im IoT oder bei der Absicherung vernetzter Industrieanlagen. Die schlechte Nachricht dabei ist: Patentrezepte gibt es dafür keine. Cybersicherheit in der Industrie 4.0 kann nur individuell für jedes Unternehmen umgesetzt werden, entsprechend der jeweiligen Anforderungen.

Mit den richtigen Maßnahmen lassen sich auch vernetzte Industrieanlagen schützen, die bislang aus autarken Steuerungs- und Automatisierungsanlagen bestanden. Wie notwendig das ist, beweisen die immer gezielteren Angriffe mit ausgeklügelter Schadsoftware, die auf bestimmte Anlagen und Steuerungen zugeschnitten sind. Gerade die zunehmende Vernetzung von IT und OT (Operational IT) im Internet der Dinge steigert die Herausforderungen an die Cybersicherheit. Der Netzübergang zwischen der Office IT und dem Produktionsnetzwerk stellt bereits jetzt ein erhebliches Einfallstor für Cyberkriminelle dar. Würmer, Trojaner oder andere unerwünschte Programme können von der herkömmlichen Infrastruktur in die Produktionsumgebung gelangen und dort den Produktionsprozess nachhaltig beeinträchtigen.

Fazit

Unternehmen sollten diese Gefahren nicht unterschätzen. Der greifbare wirtschaftliche Schaden durch stillstehende oder gar beschädigte Produktionsstätten ist real. Um solchen Bedrohungen entgegenzutreten, bietet sich eine gestaffelte Abwehr an (Defense-in-Depth). Als Basis dafür dient auch hier das Zonenmodell, welches schützenswerte Assets entsprechend ihrer Kritikalität in verschiedene Sicherheitszonen unterteilt. Auf der Basis der mittels des Zonenmodells gewonnen Erkenntnisse können weitere Sicherheitsmaßnahmen und -prozesse (z.B. Schwachstellenmanagement) definiert und umgesetzt werden.

Quellen:

https://www2.deloitte.com/de/de/pages/risk/articles/industrie-4-0-cyber-security.html

http://www.z-punkt.de/foresight-check-cybersicherheit

https://www.bmwi.de/Redaktion/DE/Publikationen/Studien/it-sicherheit-fuer-industrie-4-0.pdf?__blob=publicationFile&v=4

https://www.devicemed.de/cybersecurity-als-voraussetzung-fuer-industrie-40-a-644450/

https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2018/20181207_SmartToys.html

https://www.security-insider.de/cyberattacken-auf-deutsche-industrie-nehmen-stark-zu-a-766073/

https://iot.telekom.com/iot-de/blog/iot-security-wird-zum-wachstumsmarkt