Vernetzt mit doppeltem Boden

Geht es um Industrie 4.0, sparen Vertreter aus Wirtschaft und Politik nicht mit Pathos: Man stehe an der „Schwelle zur vierten industriellen Revolution“, sagt etwa das Bundeswirtschaftsministerium, während Bildungsministerin Anja Karliczek dem Konzept gerade vor dem aktuellen Corona-Hintergrund eine bedeutende Rolle für die Wettbewerbsfähigkeit deutscher Unternehmen bescheinigt. Kein Wunder also, dass die „Großen“ längst erkannt haben, was die Stunde schlägt und folglich die nötigen Ressourcen – Geldmittel, Fachwissen, Infrastruktur – für die Weiterentwicklung entsprechender Szenarien aufwenden. Zu den Gründungsmitgliedern von GAIA X, dem Projekt zum Aufbau einer leistungs- und wettbewerbsfähigen, sicheren und vertrauenswürdigen Dateninfrastruktur für Europa, zählten daher auf deutscher Seite u.a. etwa SAP, Bosch, Siemens, BMW oder DE-CIX. Doch während Großkonzerne und Politik zurecht nicht müde werden, die Wichtigkeit und Zukunftsfähigkeit von Industrie 4.0 zu betonen und gleichzeitig daran feilen, die Innovationsplattform für ein gemeinsames digitales Ökosystem zu schaffen, wächst auch im Mittelstand der Druck, sich mit der ganzheitlichen Transformation von Produktionsprozessen zu befassen.

Von der Idee zur Roadmap

Smarte Fabriken, vernetze Maschinen, IoT-Daten und zunehmende Automatisierung – wo genau beginnt eigentlich Industrie 4.0? Wie lassen sich ihre Paradigmen auf kleine und mittlere Unternehmen übertragen und wo soll man den passenden Einstieg finden? Mit diesen und anderen Fragen haben sich Experten der SEF Smart Electronic Factory e.V. und der Technischen Hochschule Mittelhessen (THM) befasst und gemeinsam das „Reifegradmodell zur Digitalisierung und Industrie 4.0“ entwickelt. In diesem Rahmen hat SEF-Geschäftsführerin Maria Christina Bienek beobachtet, dass viele Unternehmen zwar mittlerweile ein gutes Verständnis für die Digitalisierung gewonnen haben, längerfristige Digitalisierungsvorhaben aber aufgrund der Pandemie kurzfristigen Umsetzungen weichen mussten. „Dadurch wird eine konsequente Digitalisierungsstrategie der Unternehmen gefährdet und übersehen, dass Industrie 4.0 keine Einzellösung bedeutet, sondern eine umfängliche Transformation. Gerade die digitalen Services bleiben dabei häufig auf der Strecke“, warnt die Expertin. Ihre Befürchtung: Könne die Aufnahme neuer Geschäftsmodelle nicht umgesetzt werden, fehlten dem Unternehmen wichtige Meilensteine für die Zukunftssicherung.

Dies ist ein Artikel aus unserer Print-Ausgabe 04/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Eine Einschätzung, zu der auch Prof. Dr. Gerrit Sames, der das Reifegradmodell auf Seiten der THM begleitet hat, gelangt: „Immer wieder haben wir im Gespräch mit Unternehmen feststellen müssen, dass es an einer genauen Vorstellung und damit einhergehend einer Ordnungsstruktur für die Vielfalt der Möglichkeiten zur Umsetzung der Industrie 4.0 und Digitalisierung mangelt“, konstatiert der Wirtschaftswissenschaftler. Während der Verband Deutscher Maschinen- und Anlagebauer (VDMA) dies jedoch bereits für die Kategorien „Produktion und Produkte“ in Form des „Werkzeugkasten Industrie 4.0“ realisiert habe, fehlten ihm und seinen Kollegen verschiedene Aspekte bezüglich der Organisation und betrieblichen Prozesse. Auch die Auswirkungen auf die Mitarbeiter sowie das Thema IT-Sicherheit sollten im Modell berücksichtigt werden, erklärt er. Dies unterstütze die Abbildung und Harmonisierung der Legacy-Struktur von Unternehmen. „So können vorhandene Prozesse und bestehende IT-Strukturen besser eingeordnet und bewertet sowie erforderliche Maßnahmen bzw. eine klare Digitalisierungs-Roadmap abgeleitet werden“, resümiert Sames.

Safety First

Die Herstellung z.B. kundenspezifischer und selbst-designter Produkte, eine genaue Vorhersage der Lieferzeitpunkte, Qualitäts- und Effizienzsteigerungen – für Anton Kreuzer, den CEO von Drivelock, liegen die Chancen der neuen industriellen Organisationsstruktur und der damit verbundenen neuen Wertschöpfungsmodelle auf der Hand. Klar ist für ihn auch, dass dazu nicht nur die stetig zunehmende digitale Vernetzung von Maschinen, sondern auch die der dazugehörigen Abläufe zählt. „Die Digitalisierung in der Industrie 4.0 endet nicht in der smarten Fabrik, sondern sie erweitert die Fabrikgrenzen, indem sie die Anlage auch mit externen Lieferanten vernetzt“, konstatiert er. Damit gehe, so Brüning, die Vielfalt der Endgeräte einher, die zur Steuerung der Produktions-IT verwendet werden können; somit sei I 4.0 auch durch das Industrial Internet of Things (IIoT) gekennzeichnet. Doch gerade solch vernetzte Produktionsanlagen stehen im Fokus von Cyberkriminellen. Dazu muss das IT-Risiko um physische Aspekte erweitert werden, denn hier, so betont Kreuzer, steht bei der für die industrielle Produktion eingesetzten Operation Technology (OT) im Gegensatz zur (Büro-)IT nicht die Vertraulichkeit der Daten als Schutzziel im Vordergrund, sondern die Verfügbarkeitsanforderungen und die „Sicherheit“. „Manipulierte Anlagen oder Industrieroboter können zu einer Gefahr für den Menschen werden. Zudem werden in industriellen Produktionsprozessen nur Ausfallzeiten im Millisekundenbereich toleriert“, gibt der Drivelock-CEO zu bedenken. Kommt die Produktion durch eine Attacke zum Stillstand, entstehen hohe Kosten. Angreifer wissen um die hohen Ansprüche an die Verfügbarkeit der Maschinen und die Sicherheit der Mitarbeiter und nutzen diese laut Kreuzer als Druckmittel. Die Cyberkriminellen verwenden dabei verschiedene Vorgehensweisen, um die Anlagen zu kompromittieren. Zu den wichtigsten zählt Anton Kreuzer das Einschleusen von Malware über Wechseldatenträger und externe Hardware, die Infektion mit Schadsoftware über das Internet oder Intranet und menschliches Fehlverhalten und Sabotage. Auch die Kompromittierung von Extranet- und Cloud-Komponenten, Social Engineering sowie Phishing und (D)Dos-Angriffe stehen bei den Angreifern hoch im Kurs. Leicht kann auch der Einsatz von Legacy-Systemen in der Produktionslandschaft in den Modus Operandi der Angreifer integriert werden. Als Beispiel nennt der Fachmann das Einspielen eines Updates auf ein Steuerungssystem mit veraltetem Betriebssystem bei einer älteren Produktionsanlage: „Die Schadsoftware wird mit Hilfe eines manipulierten Wechseldatenträgers (z.B. Bad USB) über den USB-Port eingespielt, dessen Schnittstelle zum SCADA-System in der Regel ungeschützt ist.“

Neue Einfallstore

Maria Christina Bienek steht mit der Smart Electronic Factory einem Verein vor, der sich als Informations- und Demonstrationsplattform für die Industrie 4.0 versteht und dessen zentrale Zielsetzung es ist, I 4.0-Szenarien mit Fokus auf mittelstandtaugliche Lösungen in der realen Produktion von Unternehmen umzusetzen. An dieser Initiative wirken verschiedene Software- und Hardware-Hersteller sowie universitäre Einrichtungen aktiv mit. Ein wichtiger Punkt ist hierbei auch die IT-Sicherheit, bei der der Verein Unternehmen durch Austausch und Dialog sowie regelmäßige Gastbeiträge unterstützt. „Unternehmen, ganz gleich welcher Art und Branche, sind durch die Transformation vermehrt digitaler Kriminalität ausgesetzt“, stellt die Expertin fest. Zum einen liege dies daran, dass die Vernetzung von Maschinen, Systemen und Prozessen neue Einfallstore biete. Zum anderen aber auch an den Unmengen wertvoller Daten, die heute dabei generiert und gesammelt werden. Diese, so Bienek, seien äußerst beliebte Beute, während gleichzeitig die Professionalität der Cyberangriffe steige. Da sich die neuen unternehmerischen Assets zunehmend auf digitale Produkte und Services stützen, müssten diese besonders gut geschützt sein, mahnt die SEF-Geschäftsführerin.

Doch was macht gerade SCADA-Systeme so anfällig für Cyberattacken? Die Antwort liegt laut Drivelock-Experte Kreuzer in der Öffnung der OT, die nun von außen über Netze zugänglich sei. In der Vergangenheit, führt er aus, sei die Mehrheit der industriellen Produktions- und Kontrollsysteme herstellerspezifisch von der restlichen IT abgekapselt gewesen, während die wenigsten Geräte überhaupt internetfähig waren. Im Zuge der Digitalisierung seien heute allerdings viele ICS-Systeme und Subsysteme eine Kombination aus OT und IT. „Damit sind für traditionelle ICS-Systeme neue Einfallstore für Attacken entstanden, wie wir sie bei der Büro-IT längst kannten.“ Erschwerend komme hinzu, so Kreuzer, dass klassische Produktionsanlagen mit Laufzeiten von oft sieben bis zehn Jahren deutlich seltener ausgetauscht werden als etwa ein Notebook. Sind deren Betriebssysteme dann veraltet, stehen gegebenenfalls entsprechende Sicherheits-Patches nicht mehr zur Verfügung. Apropos „Patchen“: Dies sei im Industrieumfeld per se schon problematisch, da dazu die Systeme heruntergefahren werden müssten und so die Verfügbarkeit der Anlage als oberste Priorität leide.

Vertrauter Feind

Doch nicht nur vor externen Angriffen müssen sich produzierende Unternehmen schützen, denn auch die eigenen Mitarbeiter können – meist ohne böse Absicht – zum Einfallstor werden. Gerade in den letzten Monaten, in denen Corona-bedingt Homeoffice und remotes Arbeiten mit Hilfe mobiler Endgeräte und Datenträgern umgesetzt wurden, lohnte es sich für Unternehmen, ihre Policies hinsichtlich der Handhabung solcher Devices zu überdenken. Immer wenn Daten physisch das Unternehmen verlassen, ist es äußerst wichtig, die Mitarbeiter hinsichtlich der Risiken eingehend zu schulen und Awareness zu schaffen.

„Wenn OT und IT zunehmend verschmelzen, entstehen für die OT neue Risiken: Wird z.B. ein infizierter USB-Stick im Office-Netz sorglos eingesetzt, kann Schadsoftware auch ihren Weg in die ICS-Systeme nehmen“, weiß Anton Kreuzer. So könnten dann unerwünschte Applikationen ausgeführt werden, die das System kompromittieren und zum Stillstand bringen können. „Bei der intelligenten Gerätekontrolle ist eine Vielzahl granularer Einstellmöglichkeiten für die Flexibilität und den reibungslosen Ablauf in der Produktion relevant“, erklärt Kreuzer. Ein generelles Verbot von Devices wie Memory Sticks sei in vielen Produktionsumfeldern schlicht nicht möglich. Da diese natürlich auch verloren gehen können, rät er Anwendern, die Daten darauf stets zu verschlüsseln, damit sie nicht von Unbefugten ausgelesen werden können. Zum Schutz sensibler Daten, ergänzt er, empfehle der BSI auch die Verschlüsselung von Wartungsnotebooks, die beim Anlagenbetreiber verwahrt werden.

Grundsätzlich jedoch bleibt das Problem, dass die Anlagentechniker und Produktionsmitarbeiter, die für den Betrieb der Anlagen verantwortlich sind, oft zu wenig über mögliche Angriffsszenarien oder IT-Risiken wissen, bemängelt Anton Kreuzer. „Ohnehin gibt es zu wenige IT-Fachkräfte mit Security-Know-how“, konstatiert der Fachmann. Die Antwort seines Unternehmens: Ein Security-Education-Modul, mit dem Anlagetechniker, IT- und Produktionspersonal durch Infokampagnen kontinuierlich und direkt am Arbeitsplatz geschult und sensibilisiert werden könne. So könne z.B. ein Anti-Phishing-Training helfen, auf Phishing- oder Social-Engineering-Angriffe zu reagieren und das Sicherheitsbewusstsein bei den Anwendern zu stärken.

Gleich also, wie hoch der Grad an Automatisierung und Vernetzung in einer Produktionslandschaft auch sein mag, Angriffe und Fehler kommen immer wieder vor. Nicht immer befindet sich das Problem zwischen „Tastatur und Stuhl“, aber aufmerksame, sensibilisierte Nutzer sind eine der stärksten Waffen im Kampf gegen Angriffe, Störungen und Ausfälle und ihre Schulung ist daher oberstes Gebot für Unternehmen, die sich entscheiden, ihre Produktionsprozesse zu digitalisieren. Denn, wie Maria Christina Bienek abschließend feststellt: „Die Industrie 4.0-Prozesse können nur mit einem hohen Grad an IT-Sicherheit funktionieren.“

Bildquelle: Getty Images/iStock/Getty Images Plus