Startseite » Security »

Risikobewusstsein erhöht Sicherheit

Serie Industrie 4.0 – Teil 4: Sicherheit von Steuerungen und Antrieben
Risikobewusstsein erhöht Sicherheit

Industrie 4.0 bietet enorme Wertschöpfungspotenziale, erfordert aber auch neue Sicherheitskonzepte. Nach wie vor steht vor allem die Cyber-Sicherheit industrieller Kontrollsysteme, also Steuerungen und dezentrale Antriebe, nicht genügend im Fokus. Daher steht in diesem Teil der Serie „Industrie 4.0“ der elektro AUTOMATION die Frage im Mittelpunkt: „Wie sichere ich dezentral verteilte Steuerungen und Antriebe vor Manipulationen.“

Der Autor:Johannes Gillar, freier Journalist, Leinfelden-Echterdingen, im Auftrag der elektro AUTOMATION

Die Digitalisierung der Produktion im Rahmen der Industrie 4.0 hat viele Vorteile. Gleichzeitig entstehen durch intelligent vernetzte und hochautomatisierte Fertigungsmethoden sowie hochdynamische, weltweit organisierte Wertschöpfungsnetze ganz neue Herausforderungen in Sachen Sicherheit. Redet man diesbezüglich über Sicherheitsanforderungen und entsprechende Sicherheitskonzepte, haben die meisten Experten aus Politik und Wirtschaft die IT-Infrastrukturen im Visier. Eine vom Bundesministerium für Wirtschaft und Energie (BMWi) beauftragten Studie „IT-Sicherheit für die Industrie 4.0“ untersucht denn auch umfassend die Sicherheitsanforderungen der digitalen Produktion und fordert neue IT-Sicherheitskonzepte. In seiner Digitalstrategie 2025 will das BMWi folgerichtig gemeinsam mit Industrie und Wissenschaft an Lösungen arbeiten, z.B. internationale Regelungen zur Verhinderung von Wirtschaftsspionage und Cyberkriminalität.
Hoher Schaden durch Cyberkriminalität
Wie wichtig diese Arbeit ist und welche Bedrohung eine unsichere IT darstellt, zeigt eine Umfrage des Bundesverbandes Informationswirtschaft, Telekommunikation und neue Medien (Bitkom) aus dem Jahr 2015: 51% der Unternehmen in Deutschland waren schon Opfer von Cyber-Kriminalität, Mittelständische Unternehmen sind mit 61 Prozent besonders stark von Spionage- oder Sabotageakten betroffen. Der jährliche Schaden für die deutsche Wirtschaft wird dabei auf rund 51 Milliarden Euro geschätzt. Und dennoch, wer allein auf die Informationstechnik zielt, springt zu kurz. Denn die zunehmende Vernetzung der Produktion birgt auch Risiken für Automatisierungssysteme sowie so genannte Industrial Control Systems, also dezentrale Steuerungen und Antriebe. Wie hoch ist die Gefahr, dass diese Systeme Angriffsziel von Cyber-Kriminellen werden? „Hier muss man zwischen einem professionellen Hackerangriff und einer ungezielten Virusinfektion unterscheiden“, betont Kent Andersson, Geschäftsführer der ausecus GmbH in Augsburg. Die Wahrscheinlichkeit, einem zielgerichteten Hackerangriff ausgesetzt zu sein, sei durchaus niedriger als die Wahrscheinlichkeit, dass durch eine Virusinfektion die Produktion beeinträchtigt wird. „Ein Krypto-Trojaner kann natürlich Prozessleit- und Automatisierungssysteme lahmlegen. Die Auswirkungen sind in beiden Fällen drastisch und der Diebstahl vom wichtigsten Unternehmens-Know-how wird bisher oft erst gar nicht bemerkt“, weiß der Experte. Auch Stefan Woronka, Leiter Produkt Management Plant Security Services bei Siemens Digital Factory Division in Nürnberg ist sich sicher: „Das Risiko für Unternehmen, Opfer solcher Angriffe zu werden, wird zunehmend größer. Ebenso verändern sich die Angriffsmuster von unspezifischen Angriffen hin zu zielgerichteten Angriffen.“ Ein guter Ansatzpunkt sei der Standard IEC 62443. „Hier wird ein Konzept beschrieben, welches Defense in Depth – oder im Deutschen tiefengestaffelte Verteidigung – genannt wird“, verdeutlicht Woronka. Siemens unterteile dieses Konzept in drei große Blöcke: Anlagensicherheit, Netzwerksicherheit und Systemintegrität. Im Rahmen von Operational Guidelines beschreiben die Nürnberger, mit welchen Maßnahmen sich eine tiefengestaffelte Verteidigung aufbauen lässt. „Darüber hinaus unterstützt Siemens mit seinen Plant-Security-Services Kunden mit Assessments bei der Überprüfung ihrer Automatisierungsanlagen“, so der Experte.
Das Problem: Steuerungssysteme wurden nie vor dem Hintergrund der Cyber-Sicherheit konzipiert und sind daher anfällig gegenüber Angriffen aus dem Internet. Wie lassen sich diese Sicherheitslücken in bestehenden Systemen nun erkennen und schließen? „Zuerst muss sich die Unternehmensführung der Risiken durch Beeinträchtigungen der Produktion durch fehlende Cyber-Sicherheit bewusst werden. Denn für das Überprüfen und Umsetzen müssen die notwendigen Ressourcen vorhanden sein“, erläutert Jens Mehrfeld vom Bundesamt für Sicherheit in der Informationstechnik (BSI) Referat C12 – Cyber-Sicherheit in kritischen IT-Systemen, Anwendungen und Architekturen – in Bonn. Danach könne mit einer Bestandsaufnahme der Komponenten und Kommunikationsverbindungen begonnen werden. „Mit diesen Informationen können Risiken ermittelt und zielgerichtete Gegenmaßnahmen ergriffen werden“, so der Fachmann. Ein nachträglicher Einbau gestalte sich aber oft schwierig und aufwendig, da auf die bestehenden Rahmenbedingungen Rücksicht genommen werden müsse. Je nach Situation können laut Mehrfeld z. B. Firewalls vor bestimmten Anlagenteilen genutzt werden, um diese vor unberechtigten Zugriffen zu schützen. „Dies dient der möglichen Schadensbegrenzung. Daher ist es umso wichtiger bei neuen Anlagen und Komponenten auf Cyber-Sicherheit zu achten und diese einzufordern“, sagt er.
Risikoanalysen helfen
Zu den Unternehmen, die sich der Risiken in Bezug auf Steuerungen und Antriebe bewusst ist, gehört Automatisierungsspezialist Siemens. Stefan Woronka erklärt: „Zum einen hat Siemens Security bereits in den Entwicklungsprozess für seine Produkte wie die S7-1500 mit einbezogen, um den Security Level der Produkte durch Robustheit und durch integrierte Security-Funktionen zu erhöhen. Dies wird unter anderem durch Schwachstellenanalysen sowie Penetrationstests überprüft. Im Rahmen von Always Active bieten wir darüber hinaus noch Ansprechpartner, die im Falle von potenziellen Angriffen oder Schwachstellen angesprochen werden können.“ Am besten ist es, laut ausecus-Geschäftsführer Andersson, Sicherheitsmaßnahmen bereits vor der Einführung eines Steuerungssystems zu implementieren. „In der Praxis ist das aber früher meist nicht gemacht worden und die Systeme sind bereits ungeschützt langjährig in Betrieb“, gibt er zu. Dort biete es sich als ersten Schritt an, ein Zonenkonzept einzuführen und die Netzwerke zu segmentieren. „Weitere Sicherheitsmaßnahmen lassen sich am besten nach einer Risikoanalyse planen. Solche Analysen ermöglichen ein effizientes und zielgerichtetes Vorgehen“, ist er sicher.
Security, da sind sich die Experten einig, ist in jeder Produktionsanlage – sei es in der Prozessindustrie, der Fabrikautomatisierung oder im Maschinenbau – ein Muss. Die Anforderungen an die Industrial Security sind allerdings unterschiedlich. Während in der Prozessindustrie die Sicherheit von Remote beziehungsweise Managed Services im Vordergrund steht, liegen die Herausforderungen in der Fabrikautomatisierung und im Maschinenbau eher in Zellenschutzkonzepten oder der Fernwartung. Aus gutem Grund, denn Fernwartungslösungen gehören zu den bereits existierenden Industrie-4.0-Szenarien. Und da stellt sich natürlich die Frage, welche Kriterien sind in Bezug auf Sicherheit bei einer Fernwartungslösung zu beachten und welche Parteien müssen bei der Auswahl und Einführung mit einbezogen werden? „Eine einfache Fernwartungslösung reicht heute oft nicht mehr aus. Hersteller stehen oft vor dem Problem mit einer zentralisierten Lösung Servicetechniker und Anlagen rund um die Welt mittels VPN zusammenzuführen“, macht Kent Andersson klar. Gerade hier sei es wichtig, dass sich Techniker und Anlage gegenseitig zuverlässig authentifizieren, eine 2-Faktor Authentifizierung sollte es mindestens sein. Diese sei bereits Stand der Technik. Auch BSI-Experte Mehrfeld ist der Meinung, dass aktuelle und sichere Verschlüsselungs- und Authentisierungsverfahren genutzt werden müssen, um einen unbefugten Zugriff in den öffentlichen Netzen zu verhindern. „Beim Betreiber muss intern eine Abstimmung zwischen den Produktionsverantwortlichen und der IT-Abteilung über die sichere Einbindung der Fernzugriffe in das Unternehmensnetz stattfinden“, so Mehrfeld. Problematisch könnten allerdings unterschiedliche Fernwartungskonzepte sein, die verschiedene Herangehensweisen erfordern und somit auf Dauer einen hohen Aufwand.
Alle Parteien einbeziehen
Fernwartungslösungen nutzen heute überwiegend öffentliche Netze wie Internet und Mobilfunknetze. „Das bedeutet, die Anforderungen in Bezug auf Sicherheit sind sehr hoch und die Datenübertragung muss gegen Mitlesen und Manipulation gut geschützt werden, z.B. mittels Nutzung von VPNs“, erklärt Siemens-Manager Woronka. Für ein stimmiges Konzept müssen, laut dem Leiter Produkt Management Plant Security Services, alle beteiligten Parteien einbezogen werden, das heißt Endanwender, Service-Dienstleister (z.B. OEM), Hersteller der verwendeten Produkte und gegebenenfalls Anbieter von Fernwartungslösungen. Was die Maschinenbauer zum Thema Fernwartung und Sicherheit sagen, macht der Vortrag „Maschinenbau im Spannungsfeld zwischen Sicherheit und Verfügbarkeit“ von Dipl.-Ing. Klaus Bauer, Leitung Systementwicklung Basistechnologien bei Trumpf Werkzeugmaschinen in Ditzingen, klar: „Aus dem Blickwinkel einer Maschine lässt sich Sicherheit in zwei Richtungen definieren: dem Schutz des Objekts vor der Umgebung (Angriffssicherheit – Security) und dem Schutz der Umgebung vor dem Objekt (Betriebssicherheit – Safety). Beide Aspekte können an einer nichtvernetzten Maschine noch relativ einfach umgesetzt werden; schwieriger wird es dagegen, wenn die Fernwartung die Verfügbarkeit (Availability) erhöhen soll. Dann entsteht ein Spannungsfeld zwischen Safety, Security und Availability.“
Ein weiteres Kriterium für sichere Steuerungen und Antriebe im Kontext der digitalen Produktion ist die Kommunikation zwischen diesen dezentral verteilten Komponenten und der Leit- beziehungsweise ERP-Ebene. Eine der Voraussetzungen für Industrie 4.0 ist dabei das Industrial Ethernet. Über Standards wie Profinet, CC-Link IE, EtherNet/IP und andere werden dezentrale Feldgeräte wie Steuerungen, Antriebe, I/O-Geräte oder Controller angebunden. Wie lassen sich dabei nun aber Produktdaten, Produktionsverfahren, Patente und Entwicklungen schützen? Jens Mehrfeld dazu: „Für die jeweiligen Informationen ist jeweils der Schutzbedarf zu bestimmen. Es geht dabei um die Beurteilung, wie kritisch eine Veröffentlichung oder Manipulation von Daten ist.“ Je kritischer dies sei, desto eher und gegebenenfalls mehr Maßnahmen sollten getroffen werden. Bei der Umsetzung müsse man sich an den vorhandenen Möglichkeiten orientieren. „Falls zum Beispiel bei einem vorhandenen Protokoll kein Schutz des Steuerprogramms möglich ist, muss man alle Möglichkeiten zum Auslesen am Gerät oder über die Ferne unterbinden/deaktivieren“, macht er klar. Siemens setzt diesbezüglich auf die bereits erwähnte Risikoanalyse. „Ethernet-basierte Feldbusse sind Teil einer Gesamtanlage und sollten in einer Risikoanalyse mit berücksichtigt werden“, fordert Woronka. Dabei, so verdeutlicht er, werden die wesentlichen Bedrohungen identifiziert und daraus passende Maßnahmen abgeleitet. Wenn die Feldgeräte wie Steuerungen oder Antriebe nicht selbst über alle erforderlichen Security-Funktionen verfügen würden, könne der notwendige Schutzgrad über externe Schutzmaßnahmen, etwa Zellenschutz oder Netzsegmentierung, erreicht werden.
Zugangsschutz zum Netzwerk wichtig
Beim IT-Sicherheitsunternehmen ausecus weiß man, dass für die Kommunikation heutzutage vermehrt auf Standardprotokolle gesetzt wird. „Eigentlich jeder kann diese Netzwerkprotokolle mitlesen und verstehen, da die Spezifikationen verfügbar sind oder auf Standards wie TCP/IP aufgebaut werden“, berichtet Geschäftsführer Andersson und bemängelt: „Die Protokolle bieten also keinen wirksamen Vertraulichkeitsschutz.“ Bei Verbindungen über das Internet sollte also auf verschlüsselte Tunnel gesetzt werden. Intern sei der Zugangsschutz zum Netzwerk wichtig, etwa für Netzwerkdosen, Switche, Patchfelder und Schaltschränke etc. Neben technischen Sicherheitsfragen, birgt aber auch der Faktor Mensch ein beträchtliches Risiko in Sachen Sicherheit und Cyberkriminalität. Oft drohen die größten Gefahren durch die eigenen Mitarbeiter – ob aus mangelndem Bewusstsein gegenüber dem Thema Security oder aus Vorsatz, die möglichen Schäden sind immens. Wie sichert man vor diesem Hintergrund dezentral verteilte Steuerungen und Antriebe vor Manipulationen? Ein Thema, dass auch den Zentralverband Elektrotechnik- und Elektronikindustrie e.V. umtreibt. Zu den strategischen Zielen des ZVEI Arbeitskreises Cyber-Sicherheit gehört denn auch die Förderung der Awareness für Cyber-Sicherheit in der Öffentlichkeit. Und in seinem Mission Statement Cyber-Sicherheit betont der Arbeitskreis, dass ohne Cyber-Sicherheit strategische Zukunftsthemen wie die Industrie 4.0 und Energiewende nicht umzusetzen sind.
Mitarbeiter sensibilisieren
„Die Sensibilisierung aller Mitarbeiter ist sehr wichtig“, findet Jens Mehrfeld vom BSI. Hierzu zähle auch die Geschäftsführung. Die Möglichkeiten für einen Missbrauch sollten soweit es geht mit technischen Maßnahmen reduziert werden. „Dabei ist zu beachten, dass Mitarbeiter weiterhin alle Aufgaben erledigen können und nicht versucht wird, Schutzmaßnahmen zu umgehen“, betont er. Auch für Stefan Woronka ist der Mensch ein wesentlicher Faktor innerhalb der Defense-in-Depth-Strategie und muss daher von Anfang an mit einbezogen werden. „Hier kann man durchaus einen Vergleich zur Arbeitssicherheit ziehen. Zur Aufrechterhaltung der Arbeitssicherheit sind jährliche Schulungen Pflicht. Diese halten das Bewusstsein dafür hoch“, meint er. Genauso müsse es auch beim Thema Industrial Security sein – regelmäßiges Training und Schaffung von Bewusstsein für das Thema. Wie wichtig dieses Bewusstsein ist, betont auch Kent Andersson, denn, „die bekannt gewordenen Angriffe der letzten Jahre basierten zumindest teilweise auf sogenanntem Social Engineering“, weiß er. Bei dieser Technik, so Andersson, versucht ein Angreifer menschliches Verhalten auszunutzen, um einen Zugang zu den Netzen eines Unternehmens zu erhalten, etwa über Emails mit präparierten Links und Anhängen („Phishing-Attacken“) an gezielte Adressaten oder über das Einschleusen infizierter USB-Sticks. „Hiergegen kann man sich kaum verteidigen“, räumt er ein. Man könne nur immer wieder die Kollegen schulen und an das Sicherheitsbewusstsein („Awareness“) appellieren.
Industrie 4.0 verspricht immense Vorteile. Doch Integration und Automatisierung über Prozessgrenzen hinweg sowie eine firmenübergreifende Vernetzung führen automatisch zum Thema Sicherheit. Nicht nur die IT muss dabei vor Manipulationen geschützt werden, sondern auch Maschinen sowie dezentral verteilte Steuerungen und Antriebe. Neben einer Risikoanalyse und technischen Standards, ist vor allem mehr Bewusstsein gegenüber den Gefahren gefragt. Denn auf diese Weise lässt sich das Risiko mit vertretbarem Aufwand minimieren und Industrie 4.0 zur wirtschaftlich sinnvollen Erfolgsgeschichte machen. jg

Zu dieser Serie

info

Wir begleiten Sie auf dem Weg zu Industrie 4.0: In Form einer titelübergreifenden Artikelreihe der Konradin Mediengruppe, die Ihnen Impulse, Informationen und Erfahrungen an die Hand gibt. Bisher sind erschienen:
  • Mit Blick auf die Geschäftsmodelle ein Aufbruch in eine neue Ära – Übersichtsbeitrag in elektro AUTOMATION 04/2016, S. 34ff
  • Die neun Module der Zukunft – die Forschungsanlage Smart Factory KL treibt die Industrie-4.0-Standardisierung voran, Industrieanzeiger 11/2016, S. 22ff
  • Schrittmacher der Zukunft – Intelligente Feldkomponenten, elektro AUTOMATION 05/2016, S. 24ff
Übrigens: Bleiben Sie mit uns am Ball. Falls Sie eine der Publikationen noch nicht kennen und keinen Serienteil verpassen wollen, können Sie unverbindlich ein Probeheft anfordern:
Oder Sie senden uns einfach eine Mail mit dem Stichwort „Serie Industrie 4.0“ und dem Namen der gewünschten Publikation an:

Newsletter

Abonnieren Sie unseren Newsletter

Jetzt unseren Newsletter abonnieren

Webinare & Webcasts

Technisches Wissen aus erster Hand

Whitepaper

Hier finden Sie aktuelle Whitepaper

Videos

Hier finden Sie alle aktuellen Videos


Industrie.de Infoservice
Vielen Dank für Ihre Bestellung!
Sie erhalten in Kürze eine Bestätigung per E-Mail.
Von Ihnen ausgesucht:
Weitere Informationen gewünscht?
Einfach neue Dokumente auswählen
und zuletzt Adresse eingeben.
Wie funktioniert der Industrie.de Infoservice?
Zur Hilfeseite »
Ihre Adresse:














Die Konradin Verlag Robert Kohlhammer GmbH erhebt, verarbeitet und nutzt die Daten, die der Nutzer bei der Registrierung zum Industrie.de Infoservice freiwillig zur Verfügung stellt, zum Zwecke der Erfüllung dieses Nutzungsverhältnisses. Der Nutzer erhält damit Zugang zu den Dokumenten des Industrie.de Infoservice.
AGB
datenschutz-online@konradin.de