Stillstand ist teuer

ITM: Herr Kreuzer, was bedeutet “Industrie 4.0” für Sie persönlich? Was ist eines der Hauptcharakteristika dieses Ansatzes?
Anto Kreuzer: Industrie 4.0 bedeutet für uns die stetig wachsende intelligente Vernetzung von Maschinen und Abläufen in der Industrie durch die Digitalisierung. Daraus ergeben sich große Chancen, wie beispielweise neue Wertschöpfungsmodelle. Unter anderem wird die Herstellung kundenspezifischer und selbst-designter Produkte ermöglicht, Lieferzeitpunkte können genau vorhergesagt werden. Zudem wird Qualität und Effizienz in der Produktion gesteigert. Die Digitalisierung in der Industrie 4.0 endet nicht in der „smarten“ Fabrik, sondern sie erweitert die Fabrikgrenzen, indem sie die Anlagen auch mit den externen Lieferanten vernetzt. Damit einhergehend ist die Vielfalt der Endgeräte, die zur Steuerung der Produktions-IT verwendet werden können: Industrie 4.0 ist somit auch durch die IIoT, das Industrial Internet of Things, gekennzeichnet. 

ITM: Weshalb sind gerade ICS- und SCADA-Systeme für Cyberangriffe anfällig?
Kreuzer: In der Vergangenheit war die Mehrheit der industriellen Produktions- und Kontrollsysteme herstellerspezifisch von der restlichen Informationstechnologie abgekapselt und die meisten Geräte waren nicht internetfähig. Heutzutage sind durch die Digitalisierung viele ICS-Systeme und -Subsysteme eine Kombination aus Operational Technology und IT. Die OT hat sich „geöffnet“ und ist von außen über Netze zugänglich. Damit sind für traditionelle ICS-Systeme neue Einfallstore für Attacken entstanden, wie wir sie bei der Büro-IT längst kennen.

Was die Angriffe begünstigt: Klassische Produktionsanlagen haben oft Laufzeiten von 7 bis 10 Jahren und werden nicht – wie beispielsweise ein Notebook - nach wenigen Jahren ausgetauscht. Vielfach sind deren Betriebssysteme veraltet und Sicherheitsupdates (Patches) stehen nicht mehr bereit. Patchen ist per se im Industrieumfeld problematisch, da Systeme heruntergefahren werden müssen und die Verfügbarkeit der Produktionsanlage als oberste Priorität leidet.

Veraltete Systeme sind guter und leichter Nährboden für Zero-Day-Attacken, Angriffe durch nicht geschlossene Sicherheitslücken in der Software. Angreifer über die Netze haben somit leichtes Spiel. Alte Produktionsanlagen sind nicht standardmäßig mit IT-Sicherheitslösungen ausgestattet, da es zum Zeitpunkt ihrer Herstellung noch keine Cybergefahren wie heute gab. Antiviren-Scanner können nicht ohne weiteres auf Fertigungskontrollsystemen installiert werden, da der Verlust von (Hersteller-) Zertifikaten und -Garantien droht. Oft ist hier auch der Echtzeitscanner deaktiviert. Ein zeitnahes Einspielen von Updates in den Scanner ist nicht immer möglich.

ITM: Weshalb sind diese Anlagen für Angreifer attraktiv? Was kann hier gestohlen werden?
Kreuzer: Bei der für die industrielle Produktion eingesetzten OT steht im Gegensatz zur (Büro-) IT nicht Vertraulichkeit der Daten als Schutzziel im Vordergrund, sondern die Verfügbarkeitsanforderungen an Produktionssysteme und die „Sicherheit“. Anders ausgedrückt: Die Attraktivität des Industriesektors für Cyberattacken basiert auf dem hohen Anspruch an Verfügbarkeit und dem „Safety“-Begriff, der der Arbeitssicherheit Rechnung trägt. Eine manipulierte Anlage oder Industrieroboter können zu einer Gefahr für den Menschen werden. Zudem werden in einem industriellen Produktionsprozess nur Ausfallzeiten im Millisekunden-Bereich toleriert. Der Stillstand von Produktionsprozessen aufgrund einer Attacke verursacht hohe Kosten. Cyberkriminelle nutzen diese Voraussetzungen als Druckmittel für ihre Angriffe z.B. mit Erpressungssoftware.

ITM: Wie laufen solche Angriffe klassischerweise ab? Welche Art Angriff ist in I 4.0-Szenarien am häufigsten?
Kreuzer: Die kritischen und am häufigsten auftretenden Top-10-Bedrohungen für ICS werden regelmäßig, also jährlich, vom Bundesamt für Sicherheit in der Informationstechnik (BSI) publiziert. Ich möchte hier die wichtigsten nennen:

• Einschleusen von Schadsoftware über Wechseldatenträger und externe Hardware
• Infektion mit Schadsoftware über Internet und Intranet
• Menschliches Fehlverhalten und Sabotage

Danach folgen u.a. Kompromittierung von Extranet und Cloud-Komponenten, Social Engineering und Phishing und (D)DoS-Angriffe.

Eine typisches Angriffsszenario wäre das Einspielen eines Updates auf einem Steuerungssystem mit veraltetem Betriebssystem bei einer älteren Produktionsanlage: Die Schadsoftware wird mit Hilfe eines manipulierten Wechseldatenträgers (z.B. Bad USB) über den USB-Port eingespielt, dessen Schnittstelle zum SCADA-System in der Regel ungeschützt ist.

ITM: Durch Corona arbeiten auch in der Industrie derzeit vermehrt Mitarbeiter im Homeoffice – oftmals werden dabei auch arbeitsrelevante Daten physisch (etwa auf eigenen Sticks, Laptops etc.) aus dem Unternehmen herausgebracht. Wann kann dies zum Problem werden?
Kreuzer: Wenn OT und IT zunehmend verschmelzen, entstehen für die OT neue Risiken: Wird beispielsweise ein infizierter USB-Stick im Office-Netz sorglos eingesetzt, kann Schadsoftware auch ihren Weg in die ICS Systeme nehmen. Dabei werden dann unerwünschte Applikationen ausgeführt, die das System kompromittieren und zum Stillstand bringen können. Grundsätzlich besteht immer die Möglichkeit, dass Anlagenbetreiber oder Dienstleister infizierte Wechseldatenträger mitbringen, und diese z.B. bei Wartungsvorgängen in die ICS-Systeme eingespielt werden.

Als Schutzmaßnahme empfiehlt das BSI einen sorgsamen Umgang mit (mobilen) Datenträgern und Austausch von Datenträgern. Bei der intelligenten Gerätekontrolle ist eine Vielzahl granularer Einstellmöglichkeiten für die Flexibilität und den reibungslosen Ablauf in der Produktion relevant. Ein generelles Verbot von z.B. Memorysticks ist in vielen Produktions-Umfeldern auch nicht vorstellbar. Mobile Datenträger können auch verloren gehen. Daher sollten Sie Daten auf diesen Geräten immer verschlüsseln, damit Unbefugte diese Daten nicht lesen können. Das BSI empfiehlt zum Schutz sensibler Daten auch die Verschlüsselung von Wartungsnotebooks, die beim Anlagenbetreiber verwahrt werden.

ITM: Wir stehen am Rande der nächsten industriellen Revolution, in der Automatisierung, Robotik und IoT immer wichtiger werden und. Viele Industriearbeiter müssen heute komplexe technische Geräte und Rechner bedienen. Denken Sie, hier ist bereits Awareness für den sicheren Umgang mit Daten entstanden?
Kreuzer: Immer mehr Unternehmen erkennen jetzt, dass ohne die richtigen Security-Maßnahmen besonders hochautomatisierte Produktionsanlagen ein leichtes Ziel für Cyberangriffe sind. Aber die Anlagentechniker, die Anlagen in Betrieb nehmen, sind keine ausgebildeten IT-Fachkräfte, und sie sind keine Spezialisten im Bereich IT/OT-Sicherheit.

ITM: Welche Rolle spielen bei der Absicherung der Systeme die Mitarbeiter und wie kann man sie so schulen, dass sie Vorfälle besser einschätzen und richtig reagieren?
Kreuzer: Produktionsmitarbeiter, die für den Betrieb der Anlagen verantwortlich sind, wissen oft zu wenig über mögliche Angriffsmöglichkeiten und IT-Risiken. Ohnehin gibt es zu wenige IT-Fachkräfte mit Security Know-how.

Wir können Anlagentechniker, IT- und Produktionspersonal durch unser Drivelock Security Education-Modul kontinuierlich mit Informationskampagnen direkt am Arbeitsplatz schulen und sensibilisieren. Unsere Security-Education-Programme wie z.B. Anti-Phishing-Training helfen, auf Phishing und Social-Engineering-Angriffe zu reagieren und ein nachhaltiges Sicherheitsbewusstsein bei den Anwendern zu schaffen. Anlassbezogene Security Awareness stärkt das Bewusstsein für kritische Handlungen und kommt genau dann zum Einsatz: Beim Start einer neuen Applikation überprüfen wir beispielsweise, ob es sich um eine sichere Anwendung handelt und spielt im Zweifelsfall eine kurze Security-Kampagne zum Thema „Umgang mit neuen Anwendungen“ aus. Anwender erhalten kontextbezogen entsprechende Sicherheitshinweise und werden so kontinuierlich – praxisorientiert – sensibilisiert und geschult.

Bildquelle: Drivelock