Produktionsanlagen im Visier der Hacker
Als ich in den 80iger Jahren die HTL für Betriebstechnik & Maschinenbau absolviert habe, lernte ich im Fach EDV, einfache Programme für CNC-Maschinen zu schreiben. Von Digitalisierung, IoT oder vernetzten Produktionsanlagen sprach damals noch niemand. Die Begriffe „Stückkosten“ und „Produktionsmenge“ standen im Vordergrund. Also billiger und schneller produzieren durch CNC-Maschinen. Wenn von „Sicherheit“ die Rede war, dann bezog sich dies auf den Begriff „Safety“ und nicht auf „Cyber-Security“. Doch worin liegt der Unterschied?
Unter „Safety“ wird die Betriebssicherheit verstanden, d.h. der Schutz von Mensch und Umwelt vor physischem Schaden. Im Gegensatz dazu steht „Security“ für Informationssicherheit und dient somit primär dem Schutz der Daten.
- Informationssicherheit = Security
- Betriebssicherheit = Safety
Industrial Security ist durch die digitale Vernetzung immer relevanter geworden. So weisen auch die aktuellen Trends darauf hin, dass das Thema „Security“ bzw. „Cyber-Security“ in naher Zukunft immer mehr an Bedeutung gewinnen wird. In der Vergangenheit war dies nicht der Fall. Operative Technologien wurden zwar in Industriesteueranlagen verwendet, jedoch anders als im IT-Bereich waren sie nicht mit Netzwerken verbunden.
Gemäß BSI (Bundesamt für Sicherheit und Informationstechnik) lauten die Top 10 Bedrohungen für Fertigungs- und Prozessautomatisierung wie folgt:
- Einschleusen von Schadsoftware über Wechseldatenträger und externe Hardware
- Infektion mit Schadsoftware über Internet und Intranet
- Menschliches Fehlverhalten und Sabotage
- Kompromittierung von Extranet und Cloud-Komponenten
- Social Engineering und Phishing
- (D)DoS Angriffe
- Internet-verbundene Steuerungskomponenten
- Einbruch über Fernwartungszugänge
- Technisches Fehlverhalten und höhere Gewalt
- Kompromittierung von Smartphones im Produktionsumfeld
Die oben angeführten Bedrohungen sind vor allem „primäre“ Angriffe. Der Zweck dieser primären Angriffe ist, dass Hacker zunächst in industrielle Anlagen und Unternehmen eindringen können, während Folgeangriffe den An- oder Zugriff auf weitere interne Systeme erlauben. Schäden durch Folgeangriffe sind vielseitig und daher kritisch zu betrachten:
- Verlust von Verfügbarkeit, folglich Produktionseinbußen
- Datenabfluss
- Herbeiführen von physischen Schäden an den Anlagen
- Beeinträchtigung der Safety Systeme und Prozeduren
- Minderung der Qualität der Erzeugnisse
Fertigungsanlagen sind nicht selten über einen Zeitraum von 20 bis 25 Jahre im Einsatz und laufen daher oftmals auf veralteten Betriebssystemen. Daraus ergeben sich nun zwei Herausforderungen. Einerseits die oben erwähnten „veraltete“ Systeme, die zumeist nicht so einfach ersetzt oder mittels Software aktualisiert werden können (siehe Windows 98 oder Windows XP) und andererseits der mögliche Datenaustausch zwischen Geräten aufgrund der Vernetzung.
Folglich ist es unerlässlich, kontinuierlich bestehende Sicherheitsmaßnahmen zu evaluieren und zu aktualisieren.
Die Risikobeurteilung laut IEC 62443 erfolgt dabei in folgenden 6 Schritten:
| • Assets identifizieren: | Was möchte ich schützen? |
| • Bedrohungen analysieren: | Welche Risiken bestehen bei dem zu schützenden Gut? |
| • Schutzziele ermitteln: | Welche Ziele möchte ich erreichen? |
| • Risiken bewerten: | Wie hoch ist die Wahrscheinlichkeit, dass ein Risiko eintritt? |
| • Schutzmaßnahmen umsetzen: | Wie kann ich mich vor möglichen Risiken schützen? |
| • Resilienzmanagement: | Welche Lehren ziehe ich aus einer Cyber-Attacke für die Weiterentwicklung meiner bestehenden Security? |
Die Folgen von Hacker-Attacken sind verheerend: Produktionsausfälle, Lieferverzüge, Ausschussware etc. und die damit einhergehenden finanziellen Schäden. Etwas, auf das oft vergessen, aber mindestens gleichwertig, wenn nicht gar wichtiger ist, als die eben genannten Bereiche, ist die Gesundheit der Produktionsmitarbeiter, die ebenfalls durch Hacker-Attacken gefährdet wird.
Aber nicht immer zielen Attacken auf die „Störung“ der Produktion ab. Themen wie Lösegeldforderungen, Wirtschaftsspionage, Manipulationen oder reine Sabotage (an z.B. der Stromzufuhr) können das Leben erschweren.
Damit Hackern der Zugriff auf die Firmennetzwerke verwehrt bleibt, müssen mögliche Schwachstellen erkannt und behoben werden. Diese Aufgabe fällt vor allem der OT (operational technology) Abteilung zu, deren oberstes Ziel die Gewährleistung von Verfügbarkeit und Integrität ist. Im Gegensatz zur IT, welche sich eher um die Vertraulichkeit der Daten kümmert. Dadurch soll einerseits ein Stillstand der Anlage und damit verbunden ein finanzieller Verlust für das Unternehmen vermieden und andererseits die funktionale Sicherheit der Anlage sichergestellt werden. Unterstützung erhalten die Techniker dabei durch die ISO 27001 (Informationssicherheitsmanagementsystem) und/oder der IEC 62443 (Cyber-Security in der Industrieautomatisierung).
Anbei eine beispielhafte Auflistung von Themen, die hierbei von Relevanz sind:
- Sicherheitsaspekte von Industrieprotokollen
- Netzwerksegmentierung
- Netzwerksicherheit für Wireless Systeme
- Netzwerkbasierte Angriffe & Honeypots
- DoS-Angriffe
- Netzwerk-Sniffing & Protocol-Spoofing
- Man in the Middle-Angriffe
- Firewalls
- Patchmanagement
- Defense in depth
- Security Schulungen
- Etc.
Letztendlich ist es das Ziel der Industrial Security, die Verfügbarkeit von Maschinen und Anlagen sowie die Integrität und Vertraulichkeit von maschinellen Daten und Prozessen zu gewährleisten. Dabei müssen die Maßnahmen gegen Bedrohungen durch Hacker bzw. Cyberangriffen regelmäßig geprüft und verbessert werden. Ansonsten laufen sie Gefahr, gezielten oder ungezielten Hacker-Angriffen ausgesetzt zu sein, die dadurch in Produktionsabläufe eingreifen oder geschäftskritische Daten stehlen. Die Verantwortlichkeit liegt dabei bei der Geschäftsführung des Unternehmens.
Mehr Informationen über das Thema Cyber-Security für Produktions- und Fertigungsanlagen von Dietmar Thüringer können Sie hier über das Kontaktformular beantragen.
Photo by Clint Patterson on Unsplash