USB-Stick als Einfallstor

IT-DIRECTOR: Herr Rosendahl, wie schätzen Sie derzeit die Bedrohung für Cyber-Angriffe auf Industrieanlagen bzw. -maschinen von Großunternehmen oder staatlichen Institutionen ein?
T. Rosendahl: Die Gefahr ist riesengroß, dies war auch die einhellige Meinung auf der letzten Sicherheitskonferenz in München. So überlegen sich Bundesregierung und EU, eine Meldepflicht für Cyberangriffe einzuführen, damit Unternehmen auf Basis zuverlässiger Daten bessere und gezieltere Schutzmechanismen entwickeln können. Die Bedrohungslage wird durch das kommende „Internet of Everything“ noch größer, da alle Objekte und Geräte miteinander kommunizieren. Entsprechend müssen bereits existierende Sicherheitsmaßnahmen konsequent durchgesetzt werden.

IT-DIRECTOR: Wie viele und welche Attacken auf solche Anlagen sind 2012 ans Licht gekommen?
T. Rosendahl: Absolute Zahlen lassen sich leider nicht nennen, da es derzeit keine Meldepflicht für derartige Angriffe gibt. Im vergangenen Jahr registrierte aber alleine der deutsche Verfassungsschutz mehr als 1.000 digitale Angriffe auf die Bundesregierung, vor allem auf das Kanzleramt, das Auswärtige Amt sowie das Wirtschaftsministerium. Zuletzt bestätigten auch Unternehmen wie Thyssen Krupp, EADS, Facebook oder Microsoft massivere Cyber-Attacken. Auf internationaler Ebene schätzt zum Beispiel das British Columbia Institute of Technology (BCIT), dass es alleine bei den Fortune-500-Unternehmen in den USA jährlich 400 bis 500 solcher Sicherheitsvorfälle gibt.

IT-DIRECTOR: Wie gehen Cyber-Kriminelle bei ihren Angriffen vor?
T. Rosendahl: Sie werden immer zielgerichteter und greifen zunehmend einzelne Unternehmen oder sogar Personen an. Wir sprechen hier von Advanced Persistent Threats (APTs). Ein häufiges Szenario ist das Einschleppen von Schadsoftware durch USB-Stick oder E-Mail-Anhang per Adobe-Dokument, Excel-Tabelle oder auch über Sicherheitslücken in Windows, Apple oder Programmen von Drittanbietern. Bei Industrieanlagen stehen nicht so sehr DDoS-Attacken (Distributed Denial of Service) im Vordergrund, die jedoch auch immer wieder durchgeführt werden, sondern Steuerrechner mit stark veralteter Software.

IT-DIRECTOR: Welche Einfallstore werden genutzt, um Anlagen zu attackieren?
T. Rosendahl: Das primäre Einfallstor ist immer noch der USB-Stick auf dem Steuerungs-Notebook, auf diesem Weg kam nach heutigen Erkenntnissen auch der berühmte Stuxnet-Wurm auf die Industrieanlagen. Schadsoftware wird aber immer häufiger auch aus dem Internet durch infizierte Dokumente oder E-Mail-Anhänge über das Büronetzwerk und das Produktionsnetz auf die Maschinen übertragen. Da viele Unternehmen bereits heute eine IP-Verbindung zwischen Büro- und Produktionsnetz benötigen, um Scada-Systeme (Supervisory control and data acquisition) via MES (Manufacturing Execution System) und ERP (Enterprise Resource Planning) anzubinden, ist eine völlige Trennung nicht mehr möglich. Jedoch sollte der Datenaustausch über Sicherheitsmechanismen wie Firewalls und Demilitarisierte Zonen (DMZ) streng kontrolliert und geschützt werden.

IT-DIRECTOR: Sind nur Anlagen mit IP-Adressen gefährdet? Inwieweit erweisen sich ICS- und Scada-Systeme (Industry Control Systems) als die größten Schwachstellen?
T. Rosendahl: Auch ICS- und Scada-Systeme nutzen inzwischen immer häufiger IP-Adressen. Die Gefahr ist aber unabhängig vom eingesetzten Protokoll oder der Technologie, sondern liegt in der mangelnden Absicherung vor möglichen Angriffsszenarien. So verbreitet sich zum Beispiel Stuxnet auch ohne Internetanschluss über USB-Sticks in Steuergeräten auf Scada-Anlagen. Umgekehrt können IP-basierte Anlagen über das Internet oder aus dem Büronetz angegriffen werden.

IT-DIRECTOR: Mit welchen Frühwarnsystemen und konkreten Sicherheitsmaßnahmen können die Verantwortlichen solchen Angriffen entgegenwirken?
T. Rosendahl: Zur Kontrolle des Datenverkehrs zwischen Büro- und Produktionsnetz dienen heute vor allem Firewalls und Intrusion-Prevention-Systeme (IPS). Die Firewall unterbindet die Any-to-Any-Kommunikation, indem sie bestimmte erlaubte Beziehungen definiert. Jedoch kann sie nicht verhindern, dass über diese Kommunikationspfade schädliche Daten übertragen werden. Diese blockiert das IPS, indem es Inhalt, Art und Menge des Datenverkehrs sowie das Verhalten auf mögliche Angriffsmuster analysiert. Neben der Kontrolle ist die proaktive Überwachung der Warnmeldungen elementar.

IT-DIRECTOR: Welchen Schutz gibt es insbesondere für ICS- und Scada-Systeme?
T. Rosendahl: Wir stellen pro Monat fünf bis acht spezielle IPS-Signaturen für Scada und ICS bereit, die wir auch in Kooperation mit anderen Unternehmen wie Wurldtech entwickeln. Unser IPS besitzt eine eigene Klasse für Scada-, DCS-, PLC-, SIS- und RTU-Systeme, etwa von ABB, GE, Honeywell, Schneider oder Siemens. Zudem stellen wir Netzwerk-Management-Systeme bereit, die IT-Experten genau zeigen, was im Netz geschieht, zum Beispiel über die Prüfung der Traffic-Profile durch Netflow. Hier arbeiten wir auch mit dem Stealthwatch-System von Lancope zusammen, um hohe Visibilität in Management und Analyse zu ermöglichen.

IT-DIRECTOR: Wurde ein Cyber-Angriff auf Anlagen und Maschinen bemerkt, welche Ad-hoc-Maßnahmen sollten sofort in die Wege geleitet werden?
T. Rosendahl: Als ersten Impuls möchte man meist den Stecker ziehen. Doch das ist das Falscheste, was der Administrator tun kann. Denn der Angriff sollte analysiert werden, um herauszufinden, welche Daten ausgelesen und wohin übertragen wurden. Hier empfiehlt es sich in jedem Fall, so schnell wie möglich einen Forensik-Profi mit ins Boot zu holen, um den Schaden möglichst umfassend festzustellen und entsprechende Schutzmaßnahmen für die Zukunft zu entwickeln.

IT-DIRECTOR: Welche Bemühungen existieren auf nationaler wie internationaler staatlicher Ebene, um Cyber-Bedrohungen für Industrieanlagen bzw. -maschinen abzuwehren?
T. Rosendahl: Die Bemühungen stehen erst am Anfang, doch zumindest ist den Verantwortlichen national und international inzwischen die Gefahr durch digitale Angriffe auf Industrieanlagen und Infrastrukturen bewusst. So gibt es in immer mehr Ländern Cyber-Sicherheitsbeauftragte und -behörden, in Deutschland etwa die Beauftragte der Bundesregierung für Informationstechnik, Cornelia Rogall-Grothe, oder das Bundesamt für Sicherheit in der Informationstechnik (BSI), die auf Basis gesammelter Daten Empfehlungen ableiten. Jedoch wäre aufgrund der hohen Dunkelziffer eine umfassende Meldepflicht an eine zentrale Stelle dringend zu empfehlen, um zuverlässige Daten zu erhalten, schließlich kann auch das Robert-Koch-Institut nur aufgrund einer breiten Datenbasis zuverlässige Grippewarnungen und Impfempfehlungen geben und dadurch die Bürger sensibilisieren. Zudem wäre eine verstärkte internationale Zusammenarbeit der Beteiligten auf europäischer und weltweiter Ebene dringend wünschenswert, da auch das Internet und die Angriffsszenarien nicht an Ländergrenzen Halt machen.