Auf dem Weg zu Industrie 4.0 müssen Unternehmen nicht nur ihre Produktions- und Office-IT vernetzen, sondern zwingend auch ihre Sicherheitssysteme aufrüsten.
Mit der Vernetzung von Produktion und Office IT entstehen neue Gefahrenpotenziale. Foto: Maksim Kabakou - shutterstock
Industrie 4.0 bietet zweifellos zahlreiche Chancen. So hat eine aktuelle Studie von Fraunhofer IAO und BITKOM ermittelt, dass das Wertschöpfungspotenzial in Deutschland bis 2025 bei insgesamt 78,77 Milliarden Euro liegt - 23 Milliarden davon im Maschinenbau, 15 Milliarden in der Automobilbranche, 12 Milliarden in der Elektronik und 12 Milliarden in der chemische Industrie.
Gleichzeitig entstehen durch die Vernetzung von Produktion und Office-IT neue Gefahrenpotentiale und Bedrohungsszenarien. Dies zeigte etwa das Virus Stuxnet sowie in Deutschland der Angriff auf das Produktionsnetz eines Stahlwerks, so dass der Hochofen nicht mehr steuerbar war.
Gemäß dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sind die größten Sicherheitsbedrohungen für Industrie 4.0:
Infektion mit Schadsoftware über Internet und Intranet
Einschleusen von Schadsoftware über Wechseldatenträger und externe Hardware
Social Engineering
Menschliches Fehlverhalten und Sabotage
Einbruch über Fernwartungszugänge
Daher sollten Unternehmen schon jetzt umfassende technologische und organisatorische Sicherheitsmaßnahmen einführen, um ihre Produktionssysteme zu schützen.
Heute anfangen
Einen schnellen Erfolg verspricht die Integration von speziellen Firewalls und Intrusion-Prevention-Systemen (IPS) für die Produktion. Sie müssen physisch robuster sein als für die Office-IT sowie andere Montage- und Stromversorgungsstandards einhalten, etwa Gleich- statt Wechselstrom und die DIN-Schienenmontage geeignet sein. Zusätzlich empfiehlt sich die Segmentierung des Netzwerks in mehrere Zonen, damit Schadsoftware nur einen begrenzten Abschnitt befällt. Dies kann nach Halle oder Gewerk innerhalb einer Halle erfolgen.
Application Whitelisting
Spezielle Firewalls könne die Produktion schützen. Foto: Comarch
Als "Härtungs-Methode" für Produktionsmaschinen eignet sich Application Whitelisting. Damit werden alle Programme und Vorgänge verboten, die nicht ausdrücklich erlaubt sind. Hierfür wird in einem zentralen Management-Interface für jedes Endgerät ein Profil mit erlaubten Anwendungen angelegt. Die Erstkonfiguration ist zwar mit Aufwand verbunden, doch anschließend läuft das Sicherheitssystem ohne Änderung weiter, solange sich an den Herstellungsprozessen nichts ändert.
Als organisatorische Maßnahme ist heute ein abgesicherter VPN-Zugang zur Fernwartung der Produktions-IT bereits üblich. Im Vergleich zu Office-Systemen muss die entsprechende Plattform jedoch über weitere Funktionen verfügen. Dazu gehören je nach Anforderung ein nicht-personalisierter Zugriff auf Produktionssysteme, Nachvollziehbarkeit aller Wartungsvorgänge und einfache Freischaltung für Wartungszugriffe - im Notfall auch am Regelprozess vorbei. Daher sind ein sicheres Zugangsgateway, Session-Recording und zentrales Logging wichtige Elemente einer Fernwartungsplattform.
Standortbestimmung in Sachen Industrie 4.0
Die IT hat bei Industrie-4.0-Projekten die Hosen an Mehr als drei Viertel der ITler messen dem Thema eine sehr hohe (38,5 Prozent) oder hohe Bedeutung (35,9 Prozent) bei. Unter den Produktionsmitarbeitern sagen nur 7,8 Prozent, Industrie 4.0 habe eine sehr hohe Bedeutung, immerhin 39,1 Prozent räumen dem Thema eine hohe Bedeutung ein.
Zunächst einmal zeigte sich dass der Wissensstand zum Thema Industrie 4.0 in Produktion und IT unterschiedlich ist. Während drei Viertel der ITler mit dem Begriff etwas anzufangen wissen, zeigen die Mitarbeiter in der Produktion zu 60 Prozent Erkenntnisdefizite.
Mehr als drei Viertel der ITler messen dem Thema eine sehr hohe (38,5 Prozent) oder hohe Bedeutung (35,9 Prozent) bei. Unter den Produktionsmitarbeitern sagen nur 7,8 Prozent, Industrie 4.0 habe eine sehr hohe Bedeutung, immerhin 39,1 Prozent räumen dem Thema eine hohe Bedeutung ein.
Auf die Frage, ob sich das Thema langfristig in produzierenden Unternehmen durchsetzen werde, sagten 36 Prozent der ITler, sie seien sich diesbezüglich „absolut sicher“. Nur elf Prozent der Produktionsbeschäftigten waren der gleichen Ansicht.
Wer treibt die Industrie-4.0-Projekte in den Unternehmen? Die IT-Profis sehen sich zu knapp 72 Prozent selbst im Driver Seat, während sich die Produktionsmitarbeiter nur zu 26,6 Prozent verantwortlich fühlen.
Was sind nun die IT-Themen, die von den Befragten als relevant im Zusammenhang mit Industrie 4.0 gesehen werden? IT-Security, Produktions-IT und Mobility gelten laut Umfrage in dieser Reihenfolge als die Topthemen, wenn es um die Einführung und Umsetzung geht.
Morgen weitermachen
Während klassische Produktionsprozesse oft mehrere Jahre lang weitgehend unverändert bleiben, ändern sie sich durch selbstregelnde Systeme ständig. Daher müssen Unternehmen die Verantwortlichkeiten im Rahmen des Security- und Risk-Managements klar zuweisen. Hierfür bietet sich die bewährte RACI-Methode (Responsible, Accountable, Consulted, Informed) an. Die Begriffe stehen grob übersetzt für Durchführungsverantwortung, rechenschaftspflichtige Kostenverantwortung, Fachverantwortung und Informationsrecht.
Als technologische Maßnahme dient das Echtzeit-Monitoring aller Logdateien von Netzwerkgeräten, Steuerungssystemen und Firewalls zur Gewährleistung der Nachvollziehbarkeit. Zudem ist es ratsam, ein umfassendes Cyber Defense Center aufzubauen. Im ersten Schritt ist hierzu die Definition der Sicherheitsrelevanz aller Daten erforderlich. Zentrale Management-Lösungen führen die kritischen Daten aus der IT-Infrastruktur zusammen. So verknüpft beispielsweise ein Security Information and Event Management (SIEM) viele Informationen miteinander und erzeugt daraus Sicherheitsevents. Werden diese unter Einsatz forensischer Methoden analysiert, lassen sich auch nicht vorhergesehene Angriffsmuster aufdecken.
Zwei Welten, eine Sicherheit
Die Zentrale, in der die beschriebenen Maßnahmen zusammenfließen sowie zentral überwacht und gesteuert werden, ist das Security Operation Center (SOC). Es bietet einen Überblick sowie bei Bedarf detaillierte Informationen über Aufgaben, Tools, Organisation und Rollen, Patch-Status, Malware-Aktivität und Verfügbarkeit sowie Compliance Level, Bedrohungsniveau und Betriebsunterbrechungen. Damit haben Unternehmen die Sicherheit sowohl ihrer Produktions-IT als auch Office-IT immer im Blick.
Industrie 4.0: Ein Leitfaden für CIOs
Industrie 4.0 - Leitfaden für CIOs Stephen Prentice (Gartner) legt den IT-Verantwortlichen zwölf Dinge ans Herz, die sie für den IT-Beitrag zu Industrie 4.0 beachten beziehungsweise tun sollten:
1. Nur keine Panik! Industrie 4.0 ist kein Sprint, sondern ein Marathon. Die gute Nachricht: Wenn man nicht so genau sieht, wo es hingeht, kann man bislang auch nicht wirklich eine Gelegenheit verpasst haben.
2. Integrieren Sie Informationstechnik und operationale Technik! Unter operationaler Technik (OT) versteht Gartner Ingenieurtechnik mit einer Langzeitperspektive. Sie liefert Information über das, was im Inneren der Produktionssysteme vor sich geht. Dabei ist sie digital, aber nicht integriert.
3. Steigern Sie den Reifegrad Ihres Fertigungsprozesses! Lernen Sie Ihre Mitspieler auf der Produktionsseite kennen. Verstehen Sie deren Sorgen und Hoffnungen und planen Sie den gemeinsamen Fortschritt auf einem fünfstufigen Weg.
4. Integrieren Sie Ihre Informations-Assets! Reißen Sie Ihre Silos nieder und öffnen Sie Ihre Unternehmenssysteme auch für externe Informationsquellen: Wetterdaten, Social Media etc. "Ihre wertvollsten Daten könnten von außerhalb Ihres Unternehmens stammen", konstatierte Gartner-Analyst Prentice.
5. Verinnerlichen Sie das Internet der Dinge! Das Internet of Things (IoT) ist der international gebräuchliche Begriff für das, was die Grundlage der Industrie 4.0 - und des digitalen Business - bildet.
6. Experimentieren Sie mit Smart Machines! Virtuelle Assistenten für die Entscheidungsunterstützung, neuronale Netze, cyber-physikalische Systeme, Roboter und 3D-Druck mögen aus der heutigen Perspektive noch als Spielerei erscheinen. Aber es lohnt sich, ihre Möglichkeiten auszuloten.
8. Scheuen Sie sich nicht, den Maschinen ein paar Entscheidungen anzuvertrauen! Der Fachbegriff dafür ist Advance Automated Decision Making. Es gibt schon einige Bereiche, wo Maschinen statt des Menschen entscheiden, beispielsweise bei der Einparkhilfe für Kraftfahrzeuge.
9. Denken Sie wirklich alles neu! Jedes Produkt, jeder Service, jeder Prozess und jedes Device wird früher oder später digital sein. Denken Sie sich einfach mal Sensoren und Connectivity zu allem hinzu.
10. Führen Sie bimodale IT ein! Die Koexistenz zweier kohärenter IT-Modi (einer auf Zuverlässigkeit, einer auf Agilität getrimmt) gehört zu den Lieblingsideen der Gartner-Analysten. Stabilität und Schnelligkeit lassen sich so in der jeweils angemessenen "Geschwindigkeit" vorantreiben.
11. Kollaborieren Sie! Werden Sie ein Anwalt für Industrie 4.0. Schließen Sie sich Peer Groups, Konsortien und Standardisierungsgremien an. Denn die besten Ideen müssen nicht zwangsläufig aus dem eigenen Unternehmen kommen.
12. Halten Sie die Augen offen! Die Dinge verändern sich - ständig. Erfolgreiche Unternehmen wie Google und Amazon wissen das. Sie sind immer auf der Suche nach neuen Entwicklungen und Möglichkeiten.
7. Werden Sie ein Digital Business Leader! Der CIO sollte sich für das digitale Business engagieren. Dazu muss er aber seinen Elfenbeinturm verlassen. Denken Sie von innen nach außen, rief Prentice die IT-Chefs auf, und verbringen Sie etwa 30 Prozent Ihrer Arbeitszeit mit Menschen von außerhalb Ihrer Organisation.