Wenn es um die Digitalisierung der Wirtschaft geht, überschlagen sich die Wachstumsprognosen. Führenden Wirtschaftsexperten zufolge warten auf die deutsche Industrie brachliegende Wertschöpfungspotenziale im dreistelligen Milliardenbereich. Eine 2014 durchgeführte Studie des Bitkom-Verbands schätzt etwa, dass sich durch Industrie 4.0 allein in den Bereichen Automotive, Maschinenbau und Elektronik bis 2025 eine zusätzliche Wertschöpfung von rund
50 Miliarden. Euro ergeben könnte. Handlungsbedarf ist indessen noch nicht in allen Wirtschaftsbereichen in gleichem Maße gegeben. Die Industrie, im speziellen die Hightech-Fertigung, sieht sich bereits heute einem enormen Digitalisierungszwang aufgrund immer kürzer werdender Produktzyklen und steigendem Wettbewerbsdruck ausgesetzt.
Doch auch wenn jeder Technologiehersteller im Rahmen der digitalen Transformation seine eigenen Strategien entwickeln und umsetzen muss, teilen alle Smart-Industry-Konzepte letztlich ein Paradigma: Die Fertigung der Zukunft ist datengetrieben, vernetzt und transparent. Produktionsprozess, Materialfluss und ERP-Informationen verschmelzen, gleichzeitig wächst die Anzahl von Echtzeitdatenströmen und Verbindungen exponentiell an – und damit auch die Zahl möglicher Sicherheitslücken. Schon jetzt zeigt sich, dass „klassische“ Sicherheitskonzepte, die hauptsächlich auf einer Trennung von Produktionssystemen und Office-IT beruhen, den Herausforderungen der digitalen Fabrik nicht standhalten werden. Eine Strategie des digitalen Wandels muss deshalb auch die Voraussetzungen für den sicheren Betrieb neuer Technologien einschließen, bei denen die Grenzen zwischen IT-Ebene und Produktionssystemen zunehmend verschwinden.
Gewachsene Strukturen werden zum Problem
Auch wenn die industrielle Digitalisierung oftmals als Revolution dargestellt wird, gleicht sie im Prinzip einem kontinuierlichen Prozess, der bereits in den 80er- und 90er-Jahren begonnen hat. Als die moderne Automatisierungstechnik ihren Anfang nahm, steckte das Internet zwar noch in den Kinderschuhen. Das Zeitalter des Internets ist aber nicht spurlos an der Fertigungsebene vorbeigezogen. Wo die Flexibilität von TCP/IP von Nutzen war oder Kosten eingespart werden konnten, wurden in den vergangenen Jahren viele Verbindungen auf das IP-Protokoll umgestellt – jedoch nicht immer mit der notwendigen Systematik und nur selten mit dem entsprechenden IT-Sicherheitsbewusstsein. Als Folge entstanden so organisch gewachsene Vernetzungsstrukturen mit einer heterogenen Architektur aus industriespezifischen Protokollen, lokalen Netzknoten mit Anbindung an die Office-IT und mehr oder weniger offenen Internet-Zugängen – meist mäßig dokumentiert, unzureichend segmentiert und mangels verfügbarer Richtlinien auch ohne einheitliche Standards für Zugriffsmanagement und Passwortsicherheit.
Vom Silo-Denken zum übergreifenden Konsens
Bei Produktionsspezialisten und Automatisierern mag der Mix-and-Match-Zustand vieler Industrienetze zunächst keine Bedenken auslösen. Immerhin werden beispielsweise Funktionen, die die Betriebssicherheit von Anlagen gefährden könnten, auf Feldebene getrennt ausgeführt und redundant ausgelegt. Angesichts der Entwicklung der vergangenen Jahre reicht dies allein jedoch nicht mehr aus: Nicht nur die Anzahl der IP-Verbindungen hat zugenommen, auch die Bedrohungslage ist heute eine andere als noch vor vielleicht fünf Jahren. Spätestens seit dem Auftauchen von Stuxnet sowie weiteren, auf Industrienetze spezialisierten Malware-Varianten wird die Diskussion über Sicherheit in Produktionssystemen verstärkt in der Öffentlichkeit geführt. Inzwischen existieren auch spezialisierte Suchmaschinen, die nach offenen Internetverbindungen mit produktionsspezifischen Protokollen suchen. Eine aktuelle ICS-Security-Studie des Sicherheitsspezialisten Kaspersky Lab lieferte unlängst rund 26.000 unsichere ICS-Komponenten, die allein in Deutschland problemlos über das Internet erreichbar waren.
Auch das ursprüngliche Silo-Denken zwischen IT-Verantwortlichen und Produktionsleitern löst sich dank zunehmender Berichterstattung, vermehrter Aufklärung in Forschung und Lehre sowie standardisierter Sicherheitsrichtlinien (IEC 62443) mehr und mehr auf. Professionell koordinierte Sicherheitsinitiativen sind letztlich für einen reibungslosen Fertigungsablauf und einen effizienten Anlagen-Output verantwortlich. Ein komplexer Hackerangriff oder ein auf Industrieanlagen spezialisierter Schädling gefährdet diese Zielsetzung. Laut dem BSI vergehen im Schnitt 227 Tage, bis eine gezielte Attacke auf ein Unternehmen bemerkt wird – so lange sitzt der Angreifer im Durchschnitt im Unternehmen, kann spionieren, Manipulationen vorbereiten, ohne dass jemand weiß, dass ein Problem vorliegt. Schon ein einzelner Sicherheitsvorfall kann folglich zu langanhaltenden und teuren Produktionsausfällen oder zur Offenlegung brisanter Betriebsgeheimnisse führen.
Bis zu 51 Milliarden Euro Schaden in Unternehmen werden pro Jahr laut einer Studie der Bitkom aufgrund von Cyber-Attacken verursacht. ICS-Security wird deshalb längst nicht mehr als Hemmnis für die Produktion gesehen, sondern vielmehr als eine der entscheidenden Voraussetzungen für eine zuverlässige Produktionsplanung. Dieses Umdenken war zwingend nötig. Erst ein interdisziplinärer Ansatz, bei dem die Sichtweisen von IT- und Produktionsspezialisten sinnvoll zusammengeführt werden, ist in der Lage, Echtzeitanforderungen und Sicherheitsmechanismen zu einem ausbalancierten Sicherheitskonzept zu verbinden. Dabei müssen auch IT-Security-Spezialisten ihre Sichtweisen überprüfen und gegebenenfalls einen nachhaltigen Perspektivenwechsel vornehmen, denn auch ein übertriebener Einsatz von IT-Security-Maßnahmen ist in der Feldebene nicht zielführend.
Analyse für die fünf Top-Risiken
Industrial Security ist kein definierter Endzustand, sondern ein kontinuierlicher Prozess. Ein grundlegender erster Schritt auf dem Weg zu einer validen ICS-Sicherheitsstrategie muss deshalb eine detaillierte Risikoanalyse sein. Diese Vorgehensweise empfiehlt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Im ICS-Security-Kompendium des BSI heißt es hierzu: „Die Durchführung einer wiederkehrenden (regelmäßigen bzw. anlassbezogenen) Risikoanalyse wird als verpflichtend angesehen“. Im Rahmen seiner umfassenden Security-Services entwickelt Airbus CyberSecurity ganzheitliche Sicherheitsstrategien, die exakt auf solch einer Analyse basieren. Zielsetzung ist dabei, in direkter Zusammenarbeit mit IT- und Produktionsteams des Betreibers die fünf Top-Risiken zu identifizieren und zu dokumentieren sowie praktikable Gegenmaßnahmen zu empfehlen. Dies umfasst:
Aufbau von sicheren Remote-Zugängen für Wartung und Analyse,
Absicherung des Produktionsverbunds sowie die Isolierung oder Überwachung von mit Schwachstellen behafteten Altsystemen durch passive Security Sensoren,
Sicherung von Endpoints, Datenbanken und Servern (MES, HMI-Stationen, Notebooks und Mobilgeräten),
sichere Nutzung von portablen Medien wie USB-Sticks oder CDs,
Wissenstransfer und die Bereitstellung einer Methodik für eine kontinuierliche Risikoanalyse.
Die Absicherung von Produktionsanlagen ist gerade für Hochtechnologie-Unternehmen eine komplexe Herausforderung mit zuweilen hohem Kostenaufwand. Vor dem Hintergrund von Industrie 4.0 und IoT (Internet of Things) ist eine sicherheitstechnische Bestandsaufnahme jedoch unumgänglich, um den digitalen Wandel auf eine solide Basis zu stellen. Ein Security-Assessment bietet dazu einen sinnvollen Einstiegspunkt. Die Kosten der Analyse bleiben dabei in einem überschaubaren Rahmen und amortisieren sich schnell durch die Minimierung von Ausfallrisiken sowie einen insgesamt zuverlässigeren Produktionsverbund.
