Kommentar zur Cybersecurity „Angriffsrisiko nicht zu unterschätzen“

Industrielle Systeme waren lange Zeit vor Cyberangriffen sicher, insbesondere aufgrund ihrer Isolierung von anderen Netzwerken und dem proprietären Charakter der eingesetzten Hardwareplattformen. Diese Situation hat sich jedoch in den vergangenen Jahren grundlegend gewandelt. Die fortschreitende Digitalisierung eröffnet der Prozess- und Fertigungsindustrie neue Möglichkeiten. Gleichzeitig ist jedoch zu beobachten, dass die Vernetzung von Geräten und Systemen sowie die Datendurchlässigkeit zwischen Industriesystemen und dem Internet mit zunehmenden Sicherheitsbedrohungen einhergeht. In der Theorie befindet sich die Digitalisierung in vielen kleineren und mittelständischen Unternehmen noch in den Anfängen. Dennoch lassen Zahlen bereits gegenwärtig darauf schließen, dass mit dem Fortschreiten in Richtung Industrie 4.0 auch die Sicherheit der Unternehmen bedroht ist. Der Digitalverband Bitkom verzeichnet von 2022 auf 2023 einen Anstieg der Cyberattacken von 63 auf 72 Prozent. Statista hat ermittelt, dass sich weltweit fast 25 Prozent der Attacken aller Cyberangriffe in verschiedenen Branchen in der Fertigungsindustrie ereignen. Seit einigen Jahren zählt die Fertigungsindustrie damit weltweit zu den am häufigsten ins Visier genommenen Sektoren von Cyberkriminellen. Ein Grund hierfür ist, dass Unternehmen in der Fertigung bestrebt sind, bestehende Systeme zu bewahren und gleichzeitig von innovativen Technologien zu profitieren. Dies erhöht das Risiko für Cyberangriffe erheblich.

Veraltete IT-Systeme

Die Anschaffung neuer Produktionsanlagen ist mit hohen Kosten verbunden. Es ist daher logisch, dass eine hohe Langlebigkeit der Maschinen angestrebt wird. Die Konsequenz dessen ist, dass auf einer Vielzahl von Hardware heute noch veraltete Betriebssysteme laufen. Diese sind nicht annähernd auf dem Stand der aktuellen Technologie und stellen somit ein kritisches Einfallstor für Kriminelle dar. Die Verwendung ungepatchter Betriebssysteme stellt somit einen Faktor dar, der die Effektivität etablierter Sicherheitsmaßnahmen gegen Hackerangriffe auf Operational Technologies einschränkt. Des Weiteren ist zu berücksichtigen, dass sich die IT-Security nicht ohne Weiteres auf die Produktionssysteme der Prozess- und Fertigungsindustrie übertragen lässt. Es sind adäquate und dedizierte Methoden für OT erforderlich. Dies resultiert in einer steigenden Komplexität der IT-Sicherheit in der Prozess- und Fertigungsindustrie.

Es ist daher von entscheidender Bedeutung, diese Herausforderungen bereits beim Aufbau neuer Anlagen und der Auswahl entsprechender Industriesoftware zu berücksichtigen. Ein Sicherheitskonzept, welches von Beginn an mitgeplant wird, sollte ein Security Operations Center (SOC), zusätzliche Plug-ins für Schnittstellen sowie bereits integrierte Sicherheitsfunktionalitäten für die IT umfassen. Es bildet die Grundlage für ausreichende Flexibilität, Skalierbarkeit und Bedienbarkeit, um mit dem Unternehmen zu wachsen und veränderte Anforderungen schnell umsetzen zu können. Bei einer entsprechend konzipierten Plattform können neue Sicherheitsrichtlinien schneller implementiert werden, indem die Parameter oder Konfigurationen einfach angepasst werden. Die Parametrisierung ist in vielen Fällen schneller und erfordert weniger technisches Fachwissen als die Programmierung.

Faktor Mensch – schwächstes Glied der Kette?

Bei der Betrachtung von Risiken durch Cyberattacken darf der menschliche Faktor nicht außer Acht gelassen werden. Dieser spielt insbesondere bei Social-Engineering-Angriffen eine entscheidende Rolle. Diese verleiten Menschen dazu, Informationen preiszugeben, auf Pishing Mails zu klicken oder Software hochzuladen. Für eine ausreichend sichere IT-Infrastruktur gemäß den Zero-Trust-Prinzipien ist es für Unternehmen unerlässlich, nicht darauf zu vertrauen, dass sich Benutzer oder Geräte innerhalb ihres Netzwerks bereits als vertrauenswürdig erwiesen haben. Vielmehr ist es erforderlich, dass Benutzern regelmäßig oder automatisch nur so viele Rechte vergeben werden, wie für ein ordentliches Arbeiten maximal nötig ist. Darüber hinaus müssen alle Benutzer, Systeme und Geräte sowohl vor als auch hinter der Firewall kontrolliert werden, das heißt, jeder Zugriff muss individuell authentifiziert werden. Mechanismen sollen sämtliche Zugriffe auf Daten und Systeme kontrollieren. Weiterhin sollten Projekte modularisiert werden. Ebenso ist es notwendig, dass die Belegschaft hinsichtlich der Gefahren des Social Engineering geschult und sensibilisiert wird.

Gemeinsame Standards für besseren Schutz

Die Implementierung von Standards soll zukünftig zu einer erhöhten Sicherheit beitragen. Die neue NIS2-Richtlinie, deren Umsetzung in allen europäischen Staaten bis Oktober 2024 abgeschlossen sein sollte, stellt eine Reaktion der EU auf die wachsende Bedrohung dar und erhöht die Vorgaben zur Cybersecurity. Gleichzeitig wird der Kreis der von der Richtlinie betroffenen Unternehmen und Branchen deutlich vergrößert, wobei die Vorgaben über die Organisationen und Unternehmen hinausgehen, die zu den kritischen Infrastrukturen zählen. Es kann als gesichert angenommen werden, dass die NIS2-Richtlinie nicht die letzte Verschärfung der Cybersicherheitsregulierungen bleiben wird.

Quick-Wins für Unternehmen

Unternehmen sind dazu angehalten, die Risiken, die durch Cyberangriffe entstehen, nicht zu unterschätzen. Um dieser wachsenden Herausforderung gerecht zu werden, ist es erforderlich, langfristige und nachhaltige Strategien zu entwickeln. Es lassen sich jedoch bereits kurzfristig umsetzbare Maßnahmen identifizieren, die zu einer Erhöhung der Sicherheit der Produktion beitragen. Unternehmen sollten sich zum einen Hilfe von außen holen und Anlagen sowie Systeme durch umfassende Systemanalysen, Penetrationstests oder gar Schwachstellen-Scans auf den Prüfstand stellen. So können sie sichergehen, ob sie nach wie vor modernen Anforderungen entsprechen. Ebenso wichtig ist es, auf mögliche Angriffe vorbereitet zu sein und sogenannte Notfallpläne zu entwickeln. Das heißt auch: vorbereitet sein auf den Krisenfall, schnellstmögliche Überwindung eines Vorfalls unter geringen Verlusten. Unternehmen sollten weiterhin in das Know-how zu Cybersicherheit investieren, beispielsweise mittels Schulungen des eigenen Personals oder dem Beitritt in Verbände oder Vereinigungen, beispielsweise der Allianz für Cybersecurity. Es lohnt sich auch, sich über Fördermittel zu informieren, da Investitionen in die Cybersicherheit sowohl auf Landes- wie auch auf Bundesebene subventioniert werden. Die Integration von Sicherheitsoptionen in digitale Transformationsprozesse ermöglicht zudem einen umfassenden Schutz vor ungewolltem Datenverlust und unautorisierten Zugriffen.