Es ist ausgesprochen bequem: Dank einer Funksignal-Technik können Autofahrer heute ihr Auto öffnen und starten, ohne den Schlüssel aus der Hosentasche ziehen zu müssen. Allerdings nutzen auch Betrüger diese Technik, um die Funkwellen aus dem heimischen Flur abzufangen und so das Fahrzeug zu stehlen. Das Beispiel zeigt, wie die zunehmende Digitalisierung neben vielen Vorteilen auch Risiken für die Nutzer bergen kann. Schließlich gab es dieses Problem nicht, als wir den Autoschlüssel noch ins Schloss stecken mussten, um die Tür zu öffnen.
Auch in den Produktionsanlagen hat sich in den letzten Jahren viel getan. Sie werden zunehmend vernetzt, mit Sensoren ausgestattet oder mit einem digitalen Zwilling verbunden. Das ist nicht ohne Risiko. Denn das bedeutet auch, die IT-Sicherheit in der Produktion immer im Blick zu behalten. Doch während bei klassischen IT-Anwendungen bereits viele Anwender sensibilisiert sind und vorsichtig auf mögliche Pishing-Mails, verdächtige Links oder gefälschte Webseiten reagieren, ist diese Risikobewusstsein noch nicht im gleichen Umfang in der OT angekommen. „Viele Unternehmen gehen noch davon aus, dass sie vor Cyberangriffen auf ihre Produktionsanlagen geschützt sind, wenn ihre Prozessleittechnik nicht an das Büro-Netzwerk angeschlossen ist“, sagt Axel Welter. Er ist Informationssicherheitsbeauftragter in der IT von YNCORIS und hat viele Jahre Prozessleitsysteme betreut. „Doch auch mobile Konfigurationsgeräte oder Feldgeräte, die über drahtlose Kommunikationswege mit dem Prozessleitsystem verbunden sind, können Einfallstore für Bedrohungen darstellen.“ Ob Webcams oder Aufzugssteuerungen – wer sich auskennt, kann im Internet offen zugängliche Steuerungssysteme finden.
Über den Tellerrand schauen
Wer seine Anlagen in jeder Hinsicht sicher gestalten will, darf daher nicht nur die eigene Disziplin im Blick haben, sondern sollte Vorhaben rechtzeitig zusammen mit den Verantwortlichen in den Produktionsbetrieben sowie der IT und OT diskutieren. „So wie die Technik verschmilzt, müssen auch Prozesse, Methodik und Menschen miteinander im Einklang sein“, sagt Marco Knödler, der den Bereich MSR-Technik bei YNCORIS leitet. Bei YNCORIS sind klassische IT, Automatisierung und OT, daher immer näher zusammengerückt.
Vom Flurgespräch zum gemeinsamen Vorgehen
Angefangen hat die Zusammenarbeit schon vor einigen Jahren, zuerst mit informellen Gesprächen. Welter und Knödler sind in ihrem Fachgebiet über die Abteilungsgrenzen hinaus aktiv, einige ihrer Kollegen kennen den jeweils anderen Bereich aus ihrer Vergangenheit. Welter war beispielsweise vorher in der Automatisierungstechnik aktiv. Knödler engagiert sich in Gremien wie IGR, NAMUR, DIN und DKE. Aus den Gesprächen entwickelten sich immer mehr gemeinsame Aufgaben sowie Bachelor-Arbeiten, die Schnittstellen im Detail beleuchteten. Neben einem regelmäßigen Austausch in der Gruppe entwickelten die Teams zudem einen Leitfaden, um Ideen und Konzepte schon im frühen Projektphasen einbinden zu können. Knödler: „So sind wir in der Lage, Fragen ganzheitlich zu betrachten und gemeinsam vorzugehen.“
Auf jeden Einzelnen kommt es an
Damit die Sicherheit von IT und OT-Equipment in Anlagen genauso selbstverständlich wird wie die Sicherheit von Mensch und Umwelt, ist jeder Einzelne gefordert. Welter: „Robuste Technik ist wichtig, doch ganz gleich wie viele technische und organisatorische Maßnahmen wir ergreifen, wenn wir nicht jeden Einzelnen in unserem Unternehmen für IT und OT-Sicherheit sensibilisieren, bleibt immer eine Lücke, die sich Angreifer zunutze machen könnten.“ Wer heute in einer Produktionsanlage arbeite, sein umgeben von OT, ein gesundes Maß an Skepsis daher angebracht. Dazu zählt auch, sich Fragen zu stellen, wie: Ist eine Schnittstelle zwingend nötig? Welche Gefahren können auftreten? Und wie kann ich die eingesetzte Technik vor unbefugtem Zugriff schützen? Hellhörig sollten die Kollegen immer dann werden, wenn jemand „mal schnell“ etwas konfigurieren wolle. „Gerade das Betriebspersonal benötigt in der täglichen Arbeit geschärfte Sinne für die Sicherheit – hier heißt es schulen und trainieren,“ sagt Knödler. „Denn selbst in OT-Systemen, die nach bisher bewährten Verfahren geschützt sind, lassen sich erfolgreiche Angriffe nicht hundertprozentig ausschließen. Deshalb ist es wichtig, schon bei den kleinsten Zweifeln die Kollegen aus den Fachbereichen einzubinden.“ Schließlich müssen Anlagenbetreiber immer in der Lage sein, ihre Anlage sicher abzuschalten – auch im Fall eines Cyber-Angriffs und zwar selbst dann, wenn Angreifer Bedienelemente blockieren oder falsche Anzeigen generieren. Marco Knödler und seine Kollegen aus der OT beraten daher nicht nur die eigenen Kollegen – zum Beispiel aus der Ver- und Entsorgung – sondern steht auch für Fragen von anderen Unternehmen bereit.
Die notwendigen Maßnahmen zum Schutz der OT müssen dabei nicht unbedingt teuer oder aufwändig sein, um wirken zu können. Gegen den Autoschlüssel-Hack vom Anfang hilft zum Beispiel ein einfacher Trick: Einfach den Schlüssel in einer Blechdose aufbewahren, so werden die Funkwellen abgeschirmt.
Währen es im Deutschen nur das Wort Sicherheit gibt, unterscheiden englischsprachige Länder zwischen Security und Safety. Security bezeichnet dabei die Informationssicherheit (IT), also den Schutz von Daten. Safety zielt dagegen auf den sicheren Betrieb von Anlagen ab. Hier sprechen viele daher auch von der Automatisierung, englisch Operational Technology – OT.
Die Kollegen aus der YNCORIS nutzten die Zertifizierung nach ISO 2700, um die eigene IT- und OT-Sicherheit auf den Prüfstand zu stellen. Denn während des Zertifizierungsprozesses müssen Unternehmen mögliche Gefährdungen beurteilen, zum Beispiel: Wie wirkt sich ein Brand oder eine Sabotage auf einen Anlagenteil aus? Die Norm gibt zudem einen Katalog vor, der zeigt, mit welchen Maßnahmen sich solche Einwirkungen vermeiden oder deutlich einschränken lassen. Auch ein Leitfaden der Kommission für Anlagensicherheit, der KAS 51, geht im Rahmen von "Maßnahmen gegen Eingriffe Unbefugter" auf Anforderungen an die IT-Security ein. Er gibt zudem Empfehlungen wie Risiken identifiziert, analysiert und bewertet werden können.
