Autor: Max Weidele | Initiator der Wissensplattform Sichere Industrie

Industrial Security – Warum sind heutige Industrieanlagen so verwundbar? (Teil 1)

Die Bedeutung von IT-Security ist für Betreiber von Industrieanalgen aufgrund der zunehmenden Vernetzung von Maschinen und Anlagen als Folge der Digitalisierung gestiegen. Cyberkriminelle haben allzu oft ein leichtes Spiel, Schwachstellen in der IT-Infrastruktur im Produktionsumfeld auszunutzen. Warum das so ist, erklärt die Entwicklung, die die IT im Automatisierungsumfeld durchlaufen hat.

Der Einsatz von IT-Standardtechnologien für OT-Bereiche

Bei der digitalen Transformation im Produktionsumfeld wurden Komponenten und Technologien verbaut, die vorher nur in der klassischen IT im Einsatz waren. IP-basierte Kommunikation hat die Bussysteme abgelöst und mit Routern, Switchen, etc. wurden Anlagen an das Internet angebunden.
Diese Standard-Technologien aus der IT verfügen jedoch kaum über Sicherheitsfunktionalität, weil sie bei ihrer Entwicklung nicht darauf ausgelegt wurden, als Rückgrat für die Wirtschaft und für Funktionen unseres gesellschaftlichen Lebens zu fungieren. So findet E-Mail-Kommunikation nach wie vor unverschlüsselt statt und Protokolle wie ARP oder IP sind in ihrer Grundform leicht manipulierbar.
In der klassischen IT sind Störungen, die durch Sicherheitslücken entstehen können, zwar lästig, aber meist nicht kritisch. Ganz anders verhält es sich dagegen in industriellen Umgebungen, wo die Anlagenverfügbarkeit eine zentrale Anforderung ist.

Zunehmende Vernetzung von Brownfield / Bestandsanlagen

Die Laufzeit von Industrieanlagen beträgt 15 bis 30 Jahre. In den Maschinen, Steuerungen und PC-Stationen wurden Komponenten und IT-Systeme verbaut, die über sehr lange Zeiträume überwiegend ohne aktuelle Softwarestände betrieben werden. Anders als in der klassischen IT gibt es in Industrieanlagen im 24/7-Betrieb kaum Wartungsfenster für das Patchen von Systemen. Außerdem dürfen in vielen Anlagen nach der Abnahme keinerlei Veränderung mehr durchgeführt werden, weil ansonsten eine neue Abnahme der gesamten Anlage erforderlich wird.
Bestandsanlagen werden im Rahmen von Modernisierungen netzwerkfähig gemacht und können dann Programmcode ausführen. Damit können diese ehemals abgeschotteten und bis dahin relativ sicheren Brownfield-Anlagen Schadcode empfangen und ausführen. Sie kommen mit der digitalisierten Welt in Verbindung, die in technologischer Hinsicht mehrere Jahrzehnte Vorsprung hat.

Fehlende Professionalisierung der IT in der OT

Die technologische Entwicklung hat dazu geführt, dass beispielsweise Maschinenhersteller ihre Produkte bereits mit Fernwartungszugängen ausliefern und in den Automationsnetzen Datenerfassungssysteme für unterschiedliche Zwecke integriert wurden. Die Anzahl zusätzlicher Anschlüsse im Netz hat sich vervielfacht, weil sie bei Bedarf einfach erweitert wurden.
Für derartige Maßnahmen, die vom Anlagenpersonal oder vom Betriebselektriker durchgeführt wurden, existieren selten Konzepte, Architekturen und Prozesse, durch die Sicherheitsaspekte berücksichtig und Änderungen dokumentiert worden wären. So gibt es für diese gewachsene riesige IT-Schattenlandschaft keinen Überblick, was die Skalierbarkeit und die Konzeption von Sicherheitsmaßnahmen erschwert. Die Realisierung wirksamer Maßnahmen zur Absicherung der IT-Infrastruktur ist angesichts flacher unsegmentierter Anlagennetze, fehlender automatisierter Asset-Management- und Backup-Lösungen und anderer nicht vorhandener Sicherheitsvorkehrungen dringend erforderlich.

DIGITALISIERUNGSPROJEKTE RICHTIG ANGEHEN: Ein erfolgreiches Digitalisierungsprojekt beginnt mit dem Aufbau des nötigen Know-how für die spezifischen Anforderungen in der Betriebstechnik und einer fundierten Analyse der Ausgangslage in der IT-Infrastruktur im Betrieb.

Proprietäre Herstellertechnologien mit unzureichender Sicherheit

Sicherheitsfeatures im Produkt sind ressourcenintensiv und verursachen zusätzliche Entwicklungsaufwände, die Hersteller angesichts kurzer Time-to-Market und Echtzeitanforderungen an das Produkt nicht immer leisten wollen oder können.
Der Mangel an Sicherheit bei den Produkten vieler Hersteller ist jedoch nicht allein in fehlenden Sicherheitsfeatures begründet, sondern auch in der Tatsache, dass die Grundsätze für eine sichere Produktentwicklung nicht beachtet werden.
Die Verwendung herstellereigener Technik erschwert der IT-Abteilung oftmals den Zugang, weil sie mit proprietären Netzwerkprotokollen oder Hardware z.B. von Hirschmann und Siemens nicht vertraut ist.

Die Digitalisierung setzt auf einem schwierigen Erbe auf

Die Situation in Anlagenlandschaften lässt sich so zusammenfassen:
  • der Überblick fehlt,
  • Anlagen sind weder sicher noch skalierbar zu betreiben
  • aufgrund vieler herstellereigener Systeme fehlt eine Standardisierung
  • mangels Patches besteht eine hohe Anfälligkeit selbst für bereits bekannte Schwachstellen
  • Anlagen sind leicht kompromittierbar und angreifbar
  • Schadcode kann sich ungehindert ausbreiten
Dem gegenüber stehen nun Industrie 4.0-Konzepte, wie z.B. künstliche Intelligenz, Predictive Maintenance, Cloud oder Big Data.
Dass die Digitalisierung entscheidend für die Wettbewerbsfähigkeit eines Unternehmens ist, ist in den Vorstandsebenen unstrittig. Daraus ergibt sich ein großer Bedarf an Digitalisierungsprojekten für die horizontale (Maschinen und Anlagen kommunizieren miteinander) und vertikale (ERP-System kommuniziert mit Anlage) Vernetzung eines Unternehmens. Zusätzlich ist der Datenaustausch innerhalb der gesamten Wertschöpfungskette, z.B. zwischen Kunden und Lieferanten, im Fokus.
Schnell aufgesetzte Digitalisierungsprojekte scheitern jedoch an den Schwächen bei der Basis-Infrastruktur. In der Folge werden Projektarbeiten blockiert, weil die notwendige Grundlage nicht da ist oder Schwachstellen und Angriffsflächen werden vervielfacht, weil mangelhafte Lösungen dennoch implementiert werden, um schnell Ergebnisse vorweisen zu können.

„Ship-it-First“-Mentalität der Industrie 4.0- und IoT-Anbieter

Innovationslösungen für Industrie 4.0 sollen Märkte rasch erschließen, um das Marktpotential optimal nutzen zu können und die Marktposition des Anbieters zu sichern. Die Anbieter setzen daher bei ihren Produkten mehr auf individuelle Ansätze und Performance als auf Security.
Der Einsatz von Predictive Maintenance führt zu einer zusätzlichen Vernetzung mit Lieferanten, deren Sicherheitskonzept nicht notwendigerweise deckungsgleich mit dem Anspruch ihrer Kunden an Security ist.
Grundsätzlich gilt: Die meisten Geräte, die „smart“ im Namen tragen, sind sicherheitstechnisch wenig smart!

Max Weidele

Initiator der Wissensplattform Sichere Industrie

in Kooperation mit UNSEREM KOMPETENZPARTNER Sichere Industrie