Eine vernetzte Industrie ist anfälliger für Angriffe

Bei der Herstellung von Produkten beschränkte sich der Begriff Sicherheit lange Zeit primär auf den Arbeitsschutz oder die Verhinderung von Industriespionage. Wenn Anlagen und ganze Herstellungsprozesse zukünftig mit Hilfe von Informationstechnik weitestgehend automatisiert und vernetzt werden, müssen sich Unternehmen aber auch verstärkt Gedanken über geeignete und zuverlässige IT-Security-Lösungen machen.

Durch die Entwicklung in Richtung Industrie 4.0 wird der Schutz vor Angriffen durch Hacker und Spione, vor Schadprogrammen und Sabotage auch in Produktionsstraßen ein immer wichtigeres Thema. Klassische Firewall- und Anti-Virus-Technologien, wie man sie aus der Office-IT kennt, bieten dafür nicht genügend Möglichkeiten. Vielmehr sind ganzheitliche Konzepte gefragt, die technische und organisatorische Maßnahmen vereinen. Der Computerwurm Stuxnet sollte den Unternehmen ein warnendes Beispiel sein, was alles passieren kann.

Gefahren bei Industrie 4.0

Steuerungsgeräte von Produktionsmaschinen mit der Office-IT werden größtenteils über herkömmliche und nur leicht angepasste IP-Standards vernetzt. Entsprechend funktionieren Angriffsmethoden gegen IT-Systeme prinzipiell auch gegen Produktionssysteme. Doch die Auswirkungen können wesentlich schlimmer sein - aus zwei Gründen:

1. Sicherheitsvorfälle unterbrechen unter Umständen die Produktion vollständig und richten damit sofort erheblichen finanziellen Schaden an. Demgegenüber stört selbst ein groß angelegter Angriff auf die IT-Infrastruktur in der Regel nur kurzfristig die Arbeitsprozesse, im schlimmsten Fall gehen Daten verloren.

2. Manipulationen an den Produktionsmaschinen können zu minderwertigen Produkten führen. Handelt es sich hier beispielsweise um Fahrzeugbremsen, Medikamente oder Baumaterialien, sind möglicherweise Menschenleben gefährdet. Zudem können Schäden an den Maschinen auftreten, wenn sie außerhalb zugelassener Normen arbeiten.

Drei Schreckensszenarien

Wie diese Gefahren im konkreten Fall aussehen können, sollen drei mögliche Szenarien darstellen:

1. Ein Reifenhersteller lässt weitgehend automatisch die Innenschicht aus einer genau abgestimmten Gummimischung produzieren. Über das Internet erhält ein Hacker Zugriff auf die Steuerungsanlage und ändert die Zusammensetzung der Mischung. Die Reifen werden hergestellt, ausgeliefert und an Autos montiert. Bei Erhitzung durch Autobahnfahrten wird die Gummimischung jedoch so undicht, dass der Reifen Luft verliert. Die Autofahrer verlieren die Kontrolle, so dass es zu schweren Unfällen kommt. Der Reifenhersteller muss Schadenersatz leisten, sein Ruf ist ruiniert. Auftragsverluste, sogar eine Insolvenz können die Folge sein.

2. Ein metallverarbeitender Betrieb entölt Metallspäne mit Hilfe einer Zentrifuge. Bei der regelmäßigen Wartung überträgt ein Techniker unbeabsichtigt ein Virus über sein Notebook auf die Zentrifuge, wodurch sich ihre Drehzahl deutlich erhöht. Ein Mitarbeiter bemerkt dies aufgrund des lauten Geräuschs und versucht, die Zentrifuge zu stoppen. Zu diesem Zeitpunkt löst sich die Trommel und trifft den Mitarbeiter.

3. Eine Druckerei stellt die tägliche Ausgabe einer Tageszeitung her. Die vom Verlag erhaltene Datei weist jedoch ein Schadprogramm auf. In das System eingespielt, breitet sich dieses auf die Druckmaschinen aus und führt zu einem Stopp der Rotoren. Aufgrund der langwierigen Ursachensuche und eines fehlenden Patchs kann die Tageszeitung nicht gedruckt und ausgeliefert werden.

Angriffe von außen und innen

Diese Szenarien zeigen zwei mögliche Angriffswege: von außerhalb oder von innerhalb des Unternehmens. Angriffe von außen funktionieren hauptsächlich über das Internet. Bislang war daran nur die zentrale IT-Infrastruktur der Verwaltung angebunden und nicht die Produktion. Mit Industrie 4.0 ändert sich das. Dadurch kann ein Angreifer über das Internet auf die IT-Systeme des Unternehmens und von dort auf die damit vernetzten Steuerungssysteme zugreifen und so Funktionen und Einstellungen der Maschinen ändern.

Noch größer ist die Gefahr von innen. So können einerseits die eigenen Mitarbeiter aus dem Internet unbeabsichtigt Schadprogramme auf die zentralen IT-Systeme übertragen, die sich von dort auf die Steuerungssysteme ausbreiten. Zum anderen stellen auch die bereits angeführten Techniker oder Partner eine Gefahr dar, wenn sie über mobile Geräte auf die Systeme im Haus zugreifen können oder Dateien sowie Datenträger schicken, die Viren enthalten.

Die Gefahr von innen ist heute deutlich größer als die von außen. Im Rahmen der herkömmlichen Internet-Anbindung setzen die meisten Unternehmen längst strenge Sicherheitslösungen wie Firewalls, Anti-Virus-Programme oder Intrusion-Prevention-Systeme ein. Um diese Systeme zu überwinden, müssen Angreifer zudem die Art der Anbindung der Produktionssysteme ermitteln, bevor sie auf diese zugreifen können. Einfacher und direkter funktionieren Angriffe von innen, etwa über manipulierte Wartungsdateien oder Programmiergeräte.

Diesen Weg hat zum Beispiel Stuxnet genommen. Der Computerwurm verbreitete sich wohl über USB-Sticks an Notebooks, die zur Programmierung und Wartung an der Steuerung von Simatic-S7-Anlagen angeschlossen worden waren. Seine bekannteste Auswirkung erreichte Stuxnet in iranischen Anlagen zur Urananreicherung. Dort manipulierte der IT-Schädling die Drehzahl der Zentrifugen und schädigte so die Uranproduktion.

Das Ziel der Angreifer liegt tatsächlich eher in der Manipulation der Produktionsanlagen als in der Spionage. Denn die Daten für die täglich laufenden Standardprozesse sind in der Regel nicht so wertvoll wie diejenigen in Forschung und Entwicklung. Ausnahmen bilden hier Zusammensetzungen, Rezepturen und andere Betriebsgeheimnisse, die in der Produktion verwendet werden und das Ziel klassischer Konkurrenzausspähung sein können. Auch Geheimdienste dürften ein relativ geringes Interesse an den reinen Produktionsdaten haben.

Sicherungspunkte

An welchen Stellen sollten Unternehmen Sicherheitsmaßnahmen ergreifen, um diese Gefahren abzuwehren? In der Abschottung nach außen sind die klassischen IT-Security-Systeme erneut zu überprüfen und bei Bedarf zu aktualisieren. Zwar ändern sich die möglichen Angriffspunkte nicht, aber die Auswirkungen einer erfolgreichen Attacke sind durch Industrie 4.0 deutlich schwerer. Daher müssen sämtliche Sicherheitslücken geschlossen werden.

Ein deutlich größeres Problem stellt die Kopplung von Office-IT und Produktionsnetz dar. So werden etwa SAP-Datenbanken zur automatischen Nachbestellung von Materialien oder zum Auftragseingang direkt mit den Produktions- und Steuerungsdaten verbunden. Zudem können beispielsweise Techniker über Fernwartungssysteme auf das Produktionsnetz zugreifen. Entsprechend müssen Unternehmen für den Zugang zu Produktivsystemen ein umfassendes Berechtigungs- und IdentifikationsManagement einführen sowie sämtliche Schnittstellen absichern.

Eine ebenfalls große Herausforderung stellt die Sicherung der Visualisierungs- und Steuerungsebene dar. Der Einsatz von Security-Lösungen ist an dieser Stelle in der Regel von der Freigabe des Herstellers der Produktionsmaschine abhängig. Diese liegt aber nur selten vor. Zudem wissen viele Unternehmen oft gar nicht genau, welche Programme auf den Produktionsmaschinen laufen. Existieren Sicherheitslösungen, werden sie teilweise nicht eingesetzt, weil sie durch CPU- und RAM-Last die Produktionsgeschwindigkeit senken.

Die Feldebene der Maschinen stellt zwar auch ein Sicherheitsrisiko dar, wird jedoch sowohl von den Angreifern als auch von den Unternehmen vernachlässigt. Der Aufwand für Angriffe ist noch zu hoch, und Verteidigungsstrategien sind noch nicht ausgearbeitet. Trotzdem sollten Unternehmen die Feldebene als Handlungsbereich in ihre Security-Roadmap besonders dann aufnehmen, wenn sie geografisch weiträumig verteilt sind und der physische Zugang schwer zu verteidigen ist.

Die ersten Schritte

Wie sollten Unternehmen konkret vorgehen? Im ersten Schritt müssen die Verantwortlichkeiten festgelegt werden. Während diese im Office-Umfeld in der Regel geklärt sind, gibt es in der Produktion meist keinen Zuständigen für die Sicherheit. Idealerweise existiert nicht nur pro Werk ein Security-Beauftragter, sondern auch ein zentraler Chief Security Officer (CSO), der für die Niederlassungen und Werke weisungsbefugt ist. Die organisatorischen Prozesse hat der Vorstand freizugeben, bevor Entscheidungen über technische Lösungen fallen.

In den meisten Chefetagen herrscht hier noch viel Aufklärungsbedarf. Oft muss erst ein Security-Vorfall geschehen, damit sich das nötige Gefahrenbewusstsein entwickelt. Gerade dafür wäre ein Erkennungssystem für Angriffe nötig, das jedoch oft nicht existiert. Zudem verschweigen Unternehmen häufig Sicherheitspannen, um einen Imageschaden zu vermeiden.

Im Falle komplexer Zulieferketten und vieler Partner reicht der Schutz des eigenen Unternehmens nicht aus. Hier sind auch die Externen über umfassende Sicherheitsmaßnahmen und Richtlinien in das Gesamtkonzept einzubinden. Sonst besteht die Gefahr, dass die Produktion über die Zulieferer kompromittiert wird, wie das in der Office-IT im Fall von RSA Security und Lockheed Martin schon geschehen ist.

Sind die organisatorischen Fragen geklärt, sollten Unternehmen in einem Referenzprojekt in einem Werk eine umfangreiche Sicherheitslösung aufbauen, die sich andere Niederlassungen praxisnah ansehen und vom Werksleiter erklären lassen können. Dann wird Sicherheit in der Industrie 4.0 von einem theoretischen Mangel zu einer praktischen Lösung.

Fazit

In der Office-IT hat es mehr als zehn Jahre gedauert, bis Unternehmen ein vernünftiges Sicherheitsniveau erreicht haben. Eine so lange Wartezeit können sie sich für ihre Produktionsumgebungen nicht leisten. Daher gilt es, auch in der eigenen Fertigung Information Security besonders ernst zu nehmen.

Unternehmen können zwar von den Erfahrungen klassischer IT-Lösungen profitieren, doch der Aufwand für Anpassungen und organisatorische Prozesse ist keinesfalls zu unterschätzen. Deshalb sollten die Unternehmen bereits jetzt damit anfangen. Sicherheit darf nicht als Hindernis gesehen werden, sondern als Erfolgsgarant - denn ohne sie wird Industrie 4.0 langfristig nicht bestehen können.

Dror-John Röcher ist Lead Consultant Secure Information bei der Computacenter AG & Co. oHG.