Angriffsmuster verändern sich

Die Digitalisierung der Produktion führt zu einer zunehmenden Vernetzung von Komponenten, Maschinen und Anlagen. Das eröffnet Unternehmen aller Branchen viele Chancen – so auch der Prozessindustrie. Doch wo Licht ist, da ist auch Schatten. Neben den enormen Möglichkeiten birgt die anlagen- und firmenübergreifende Vernetzung auch zahlreiche Risiken. Cyber-Attacken auf Anlagen über Netzwerke nehmen zu. „Das Risiko eines Angriffes liegt bei 100 %“, warnt Dr. Thomas Tauchnitz, zuständig für Cartridge Platform & Emerging Markets bei der Sanofi-Aventis Deutschland GmbH in Frankfurt am Main. „Wie weit wir Opfer werden, hängt von unseren Maßnahmen ab.“ Im Fokus der Angriffe stehen Kommunikation und Vernetzung von Maschinen und Anlagen unter- und miteinander. Daher müssen Anlagenbetreiber und Automatisierer darauf achten, dass Automatisierungslösungen heute neben der Funktionalen Sicherheit (Safety) auch Cyber beziehungsweise IT Security unterstützen.

Aus diesem Grund haben einige Dax-Unternehmen die „DCSO Deutsche Cyber-Sicherheitsorganisation GmbH“ gegründet. Dem im August 2016 konstituierten Fachbeirat der DCSO gehören unter anderem an: Allianz SE, Axel Springer SE, Bayer AG, BASF SE, Bertelsmann SE & Co. KGaA, BMW AG, Daimler AG, E.ON SE, Kuka AG, Siemens AG, Thyssenkrupp AG und die Volkswagen AG. Außerdem sind das Bundesministerium des Innern, der Bundesverband der Deutschen Industrie e. V., das Digital Society Institute der ESMT Berlin sowie das Fraunhofer-Institut für Angewandte und Integrierte Sicherheit Mitglieder im Fachbeirat. Das Kompetenzzentrum soll als bevorzugter Cyber-Sicherheitsdienstleister der deutschen Wirtschaft arbeiten. „Bayer ist Mitinitiator der DCSO, weil eine höhere Cyber-Sicherheit neue Wege erfordert und im Interesse aller Unternehmen ist“, sagt Daniel Hartert, CIO der Bayer AG und Vorsitzender des Fachbeirats der DCSO. „Die Mitglieder des Fachbeirats kennen die vielfältigen Herausforderungen der stetig wachsenden Cyber-Bedrohungen aus ihrem eigenen Umfeld. Umso effektiver ist es, offen miteinander zu sprechen und von der Entwicklung gemeinsamer Abwehrstrategien zu profitieren.“

Doch trotz der steigenden Wahrnehmung werden viele Herausforderungen der Vernetzung und offener Netzwerkarchitekturen bezüglich der IT-Sicherheit nach wie vor unterschätzt. „Wie prekär die Lage ist, lässt sich einfach im Selbstversuch herausfinden: Eine unsichere Verbindung über einen Router wird bereits innerhalb von Sekunden oder Minuten zu Attacken führen“, verdeutlicht Joe Zenner, Produktmanager bei der Welotec GmbH. Das Unternehmen aus Laer hat sich auf die sichere Kommunikation unter anderem im Bereich der Energie- und Wasserversorgung spezialisiert. Informationssicherheit in der Prozessindustrie insbesondere beim Betrieb kritischer Infrastrukturen spielt laut Zenner eine immer wichtigere Rolle. Teilweise seien Unternehmen hier bereits gesetzlich verpflichtet, ein den Richtlinien entsprechendes Information Security Management System (ISMS) einzuführen. Mit der komplexen, technischen Umsetzung eines ISMS seien aber besonders kleinere und mittelgroße Versorgungsunternehmen oft überfordert. Zu den zentralen Empfehlungen der vom Bundesministerium für Wirtschaft und Energie (BMWi) in Auftrag gegebenen Studie „IT-Sicherheit für die Industrie 4.0“ gehören daher ein guter Basisschutz in Betrieben durch Sicherheitstechnologien als wichtige Voraussetzung zur Teilhabe an Industrie 4.0. Außerdem empfiehlt die Studie die rechtliche Regulierung von IT-Sicherheit, rechtliche Klarheit zur Bedeutung technischer Standards und eine anerkannte Vertragspraxis beispielsweise durch Musterklauseln. Des Weiteren wird die Einführung von Mindeststandards für IT-Sicherheit und die Verwendung von zertifizierten Produkten in digitalen Wertschöpfungsnetzen sowie die Nutzung von digitalen Identitäten in Form hardwarebasierter Vertrauensanker zur Absicherung von Kommunikationsbeziehungen gefordert.

Dass das Risiko für Unternehmen, Opfer solcher Angriffe zu werden, zunehmend größer wird, bestätigt Jean-Luc Gummersbach, der im PCS-7-Product-Management der Siemens-Division Process Industries and Drives in Karlsruhe für Process Safety und Industrial Security verantwortlich ist. „Erwähnenswert ist aber auch, dass Angriffe auf Sicherheitsfunktionen selten sind und sich Angriffsmuster von unspezifischen Angriffen hin zu zielgerichteten Angriffen von hoher Qualität entwickeln, welche nach weitreichenden Entscheidungen für die Anlagenplanung und den -betrieb verlangen“, so Gummersbach. „Dies haben auch unterschiedliche Gesetzgeber erkannt und entsprechende Gesetze erlassen, die Mindestmaßnahmen vorschreiben, beispielsweise das deutsche IT-Sicherheitsgesetz, bzw. die kritische Infrastruktur „KRITIS“ im Blick haben.“ Auch Dr. Alexander Horch, Leiter Entwicklung der Hima Paul Hildebrandt GmbH in Brühl, betont, dass durch die zunehmende Digitalisierung das Risiko von Cyber-Attacken auf industrielle Anlagen weiter steigt. Es sei leicht nachvollziehbar, dass die wachsende Gefahr von Cyber-Attacken auf industrielle Anlagen nicht nur die Informationssicherheit, sondern auch in steigendem Maße die Anlagensicherheit und damit die Sicherheit für Mensch, Sachwerte und Umwelt stark gefährde. „Anlagenbetreiber müssen dieses Risiko im Blick haben und aktiv adressieren“, fordert er. „Die Themen Safety und Security sind heute eng miteinander verwoben.“ Die beiden englischen Begriffe „Safety“ und „Security“, so der Experte weiter, werden beide von dem deutschen Begriff „Sicherheit“ umfasst. „Dies ist nicht nur sprachlich von Interesse, sondern auch inhaltlich ein sehr geeignetes Bild: Es macht deutlich, wie sehr beide Themen miteinander verknüpft sind, und dass sie gemeinsam betrachtet werden müssen“, verdeutlicht Horch. Laut einem Arbeitspapier der interdisziplinären Expertengruppe „indy4“ ergibt sich eine besonders fatale Wechselwirkung beider Sicherheitsaspekte (Safety + Security) in der digitalisierten Wertschöpfung, wenn Produkte oder Techniken durch Fremdeinwirkung verändert, sabotiert, geschädigt und damit inkonsistent werden (Verletzung der Security) und infolge dessen dann Personen- oder Sachschaden verursachen (Verletzung der Safety). Während sowohl Safety- als auch Security-Themen im Einzelnen in der Branche gut verstanden sind, ist die Safety-Security-Wechselwirkung technologisch noch ziemlich unerforscht. „Wesentlich ist, dass im Rahmen der Betrachtungen der Security, zum Beispiel beim Thread & Risk Assessment, auch die Aspekte der Safety mitberücksichtigt werden. Entsprechende Anmerkungen dazu finden die Anwender in der IEC 61511–1 und der IEC 62443–3“, ergänzt Siemens-Sicherheitsspezialist Gummersbach.

Auf die integrierte Betrachtung erfolgt laut Hima-Experte Horch eine umfassende Umsetzung mit normenkonformen Zertifizierungen nach Safety Integrity Level SIL 3. Diese seien entsprechend aufwendig und die Umsetzung von Normvorgaben in konkrete Hardware- und Software-Produkte erfordere sehr viel Know-how. „Hima ist seit über 45 Jahren führend auf dem Gebiet der Sicherheitssteuerungen für Funktionale Sicherheitsanwendungen in der Prozessindustrie. Die jahrzehntelange Erfahrung in der effizienten Umsetzung von Normen in Technologie hilft uns bei der Herausforderung, Cyber Security systematisch in Steuerungen zu entwerfen“, erklärt er. Das Beispiel des Sicherheitssystems Himax des Brühler Spezialisten zeigt, welche Vorteile autarke Sicherheitssteuerungen in Bezug auf Cyber Security haben. Horch: „Gleichzeitig erhöhen die Robustheit und Zuverlässigkeit autarker Sicherheitssysteme die Verfügbarkeit und Produktivität einer Anlage.“

Für die Steuerungen der funktionalen Sicherheit gelten besondere Regeln. „Um sicherzustellen, dass Sicherheitssteuerungen den aktuellen Normen zur Cyber Security (z. B. IEC 62443) gerecht werden und entsprechend zertifiziert werden können, sind vielfältige Schritte zu unternehmen“, so Horch weiter. Der Standard IEC 62443 hat auch für Siemens einen hohen Stellenwert. Wenn es darum geht, welche Rolle die Verwendung von zertifizierten Produkten in digitalen Wertschöpfungsnetzen für die Prozessindustrie spielen, hat ein holistisches Security-Konzept basierend auf dem „Defence-in-Depth“-Ansatz, in das Geräte/System-Lieferanten, Systemintegratoren und Betreiber eingebunden sind, einen vorrangigen Stellenwert gegenüber Produktzertifizierungen“, erläutert Sicherheitsexperte Gummersbach. Ebenso skeptisch, was den Wert von Mindeststandards und zertifizierten Produkte angeht, ist Sanofi-Manager Tauchnitz: „Ein ‚Mindeststandard‘ nützt gar nichts – das, worauf sich alle einigen können, ist deutlich zu wenig und zeitlich verspätet.“ Der Wert von „Zertifikaten“ hänge davon ab, was zertifiziert wird, insofern sei es kein Wert an sich.

Betroffen vom erhöhten Sicherheitsrisiko durch die Digitalisierung der Produktion beziehungsweise durch die Vernetzung im Rahmen der Industrie 4.0 sind auch die Systemarchitekturen prozessindustrieller Anlagen. Denn moderne Automatisierungslösungen setzen im zunehmenden Maße offene und vernetzte Systemarchitekturen sowie Komponenten der Standard-IT ein, häufig mit direkter oder indirekter Verbindung zum Internet. Solche Lösungen sind laut der Namur Empfehlung NE 153 „Automation Security Agenda 2020 – Design, Implementierung und Betrieb industrieller Automatisierungssysteme“ erhöhten Risiken und Bedrohungen ausgesetzt, denn die für die Standard-IT bekannten Angriffe, Fehler etc. wirken sich damit auch in der industriellen Automatisierungstechnik aus. „Safety wird durch die bewährten Methoden der Prozess- und Anlagensicherheit gewährleistet“, erklärt Dr. Thomas Tauchnitz von Sanofi-Aventis Deutschland. Er warnt aber: „Sie muss vor den Risiken der IT Security perfekt geschützt werden.“ Weil Industrie 4.0 die Anlagen für die Vernetzung öffne, werde IT Security zu einer „conditio sine qua non“ (Anmerkung der Redaktion: „Bedingung ohne die es nicht geht“). Sein Fazit: „Wenn IT Security nicht gewährleistet ist, wird Industrie 4.0 außen vor bleiben müssen.“ Und auch Dr. Alexander Horch von Hima findet, dass Industrie 4.0 und die zugrundeliegenden Technologien das keinesfalls neue Thema Cyber Security verstärkt in die öffentliche Diskussion gebracht haben. „Das Thema ‚Sicherheit‘ wird durch Industrie 4.0 daher kaum schwieriger, aber doch sehr viel präsenter. Für wirkungsvolle Cyber Security in der Prozessindustrie reicht es nicht aus, ein vorhandenes Produkt im Nachhinein durch zusätzliche Software-Funktionalität zu verbessern“, betont er. Jede Lösung zur funktionalen Sicherheit müsse von Beginn an im Sinne der Cyber Security durchdacht und entworfen werden. Das gelte für die Firmware ebenso wie für die Anwendungssoftware.

Daher definiert die bereits erwähnte NE 153 für zukünftige Automatisierungslösungen einige grundsätzliche Anforderungen. Diese können im Kern wie folgt zusammengefasst werden: IT-Security-Konzepte müssen zukünftig ein integraler Bestandteil im Funktionsumfang automationstechnischer Komponenten und Lösungen sein. Damit besteht die Chance, die Komplexität von Automatisierungslösungen erheblich zu reduzieren. Die Namur benennt eine Reihe Kriterien, die auch neue oder erweiterte Handlungsfelder für Forschung und Entwicklung – ebenso in der konventionellen IT – aufzeigen. Es besteht die Erwartungshaltung, dass innovative Sicherheitstechnologien und -konzepte frühzeitig auf ihre Anwendbarkeit in der Automatisierungstechnik geprüft und in neue Produkte integriert werden. Einige der Punkte sind schon heute umsetzbar. Andere spiegeln die Erwartungen an eine zukünftige Generation von Automatisierungslösungen wider.

Zu den bereits existierenden Industrie-4.0-Szenarien in der Prozessindustrie zählen Fernwartungslösungen. Welche Kriterien sind bei der Fernwartung von Systemen der Automatisierungstechnik in der Prozessindustrie unbedingt zu beachten? „An die Fernwartung sind die gleichen Kriterien zu stellen wie an den internen Zugriff. Die zusätzlichen Risiken – Zugriff über das Internet, fehlender organisatorischer Durchgriff auf die Fremdfirma – müssen durch zusätzliche Maßnahmen abgefangen werden“, macht Sanofi-Experte Tauchnitz klar. Eine Empfehlung dazu gibt auch das Namur-Arbeitsblatt NA 135 „Fernwartung bei Systemen der Automatisierungstechnik in der Prozessindustrie“. Ziel des Arbeitsblattes ist es, aus Anwendersicht die Randbedingungen für die Fernwartung bei Systemen der Automatisierungstechnik in der Prozessindustrie sowie technische und methodische Anforderungen an den Ablauf und den Dienstleister von Fernwartung darzulegen.

„Fernwartung ist heute technisch leicht möglich und wird bereits vielfach in der industriellen Automatisierung verwendet“, so Hima-Experte Horch. Durch den Fernzugriff auf Automatisierungssysteme werde ein weiterer möglicher Angriffskanal geöffnet, der daher entsprechend sorgfältig abgesichert werden müsse. „Wirtschaftlicher Nutzen und Sicherheit müssen hier gegeneinander abgewogen werden. Vorteilhaft ist es, dass für Fernzugriffe auf IT-Systeme bereits gut etablierte Lösungen aus anderen Branchen verfügbar sind“, erklärt der Fachmann.

Daher seien Kriterien hier relativ gut ableitbar: rollenbasierte Zugriffsrechte, Einschränkung der Manipulationsmöglichkeiten auf das notwendige Minimum, Verschlüsselung, sichere Authentifizierungsmechanismen. „Es ist sinnvoll, wenn nicht jede Fernwartungslösung mit ihrem eigenen Zugangskonzept daherkommt, sondern auf professionelle und bewährte Standardlösungen aufgesetzt wird, die dann für verschiedene Wartungsanwendungen verwendet werden können“, sagt Horch und ergänzt: „Es existieren bereits bewährte Lösungen von spezialisierten Anbietern, die nach heutigem Wissensstand sicheren Zugang für Fernanwendungen bieten. Diese werden jedoch bisher nur dort eingesetzt, wo es entweder absolut notwendig oder für den Betrieb der Anlage nicht gefährdend ist.“ So würden Messdaten für ein bestimmtes Aggregat beispielsweise an eine Datenbank überspielt, auf die der Wartungstechniker dann per Fernzugriff zugreifen könne. Dadurch sei eine direkte Manipulation des Prozesses nicht möglich. Siemens bietet diesbezüglich mit den Simatic Remote Services eine modulare Remote-Infrastruktur für Kunden. „Diese Services basieren auf unserer common Remote Service Platform (cRSP), einer sicheren, performanten und hochverfügbaren Remote-Plattform“, verdeutlicht Siemens-Experte Gummersbach.

Neben technischen Sicherheitsfragen, birgt auch der Faktor Mensch ein beträchtliches Risiko in diesem Zusammenhang. Oft drohen die größten Gefahren durch die eigenen Mitarbeiter – ob aus Sorglosigkeit bezüglich des Themas Security oder aus Vorsatz, die möglichen Schäden sind immens. Wie sichert man sich vor diesem Hintergrund dezentral gegenüber Manipulationen ab? „Ein wichtiger Schritt zur Schadensbegrenzung ist eine detaillierte Rechteverwaltung. Mangelndes Bewusstsein muss durch Schulungen und Aufsicht minimiert werden. Die Absicherung gegen die kriminelle Energie eines Vorsatzes ist eine „Königsdisziplin“ und nur durch Vier-Augen-Prinzipien zu erreichen“, so Sanofi-Fachmann Dr. Thomas Tauchnitz. Sein Siemens-Kollege Gummersbach sieht den Mensch gar als „wesentlichen Faktor innerhalb der Defense in Depth-Strategie und der daher von Anfang an miteinbezogen werden muss“. Das kann durch regelmäßiges Training und Schaffung von Bewusstsein für das Thema erfolgen“, so Gummersbach weiter. Dieser Einschätzung schließt sich auch Dr. Alexander Horch von Hima an: „Selbstverständlich ist die andauernde Steigerung des Bewusstseins der Mitarbeiter wichtig, um Fehler des „Faktor Mensch“ zu minimieren – dazu zählen Schulungen und eine fundierte Ausbildung. Auf technischer Ebene sehen moderne Anlagenkonzepte vor, dass der Mensch weitgehend nur noch in Überwachungsaufgaben eingebunden ist, mit möglichst wenig direkten Zugriffsmöglichkeiten auf die Anlagensicherheit.“ Da dem Menschen neben allen automatisierten Sicherheitseinrichtungen zukünftig immer noch – zu Recht – eine Möglichkeit des „Over-ride“ eingeräumt werde, biete sich hier eine, aus Cyber-Security-Sicht signifikante, Schwachstelle aus. „Technologie darf daher nicht nur technische Prozesse selbst überwachen und nach festgelegten Regeln selbstständig eingreifen, sondern muss auch die Organisationsseite, auf der der Mensch agiert, in den Blick nehmen“, verdeutlicht er.

Automatisierungsunternehmen und Anlagenbetreiber arbeiten also daran, ihre Systeme und Anlagen für die Herausforderungen der Industrie 4.0 fit zu machen. Doch nach wie vor werden die Risiken, die durch die zunehmende Vernetzung und durch offene Netzwerkarchitekturen entstehen, unterschätzt. Insbesondere für sicherheitsgerichtete Systeme, gerade in der Prozessindustrie, spielt Cyber Security jedoch eine ganz zentrale Rolle, da diese die letzte Front vor einer möglichen Katastrophe darstellen.