Worauf es beim Schutz industrieller Anlagen ankommt

Mit der fortschreitenden Konvergenz von IT und Betriebstechnik (OT) hat sich der Schutz der industriellen Prozesse deutlich verändert. Waren OT-Netzwerke und industrielle Kontrollsysteme (ICS) zuvor von der IT und dem Internet isoliert, werden sie seit Jahren mehr und mehr vernetzt. Dadurch erweitert sich die Reichweite dieser cyber-physischen Systeme (CPS) enorm. Idealerweise verbessert die digitale Transformation die Produktionsprozesse durch Datenanalysen in Echtzeit, vorausschauende Wartung und Datenaustausch – und sorgt so für Kostenreduzierungen und steigende Effizienz.

Gleichzeitig steigen damit jedoch auch die Risiken: Sobald Systeme und Geräte vernetzt werden und online gehen, wird ihnen eine IP-Adresse zugeordnet. Dadurch ist jedes neu angeschlossene Gerät Cyberangriffen ausgesetzt und die potenzielle Angriffsfläche eines Unternehmens vergrößert sich. Erschwerend kommt hinzu, dass viele ICS-Komponenten noch auf veralteter Technologie basieren, die nicht für eine Vernetzung und die damit einhergehenden Bedrohungen ausgelegt wurden.

Die Bedeutung industrieller Kontrollsysteme in kritischen Infrastrukturen

Industrielle Kontrollsysteme sind die cyber-physischen Systeme, die industrielle Prozesse steuern und automatisieren. Sie umfassen eine Reihe von Komponenten auf und unterhalb des Purdue-Modells. Beispiele hierfür sind Sensoren und Aktoren auf Ebene 0, die Informationen an speicherprogrammierbare Steuerungen (PLCs) und Remote-Terminal-Einheiten (RTUs) auf Ebene 1 liefern. Diese werden wiederum auf der Steuerungsebene (Ebene 2) geregelt. Auf diese Weise werden verschiedene prozessorientierte Systeme wie Temperatur, Druck, Durchflussmenge und andere Variablen überwacht und gesteuert.

Ein weiteres Beispiel sind Gebäudemanagementsysteme (GMS) wie HLK, Beleuchtung, Energiemanagement, Brandschutz sowie Aufzüge und Rolltreppen. Diese Systeme steigern nicht nur den Komfort, sondern senken die Betriebskosten und stellen vielfach den reibungslosen Ablauf sicher. So sind etwa Kühlsysteme für Rechenzentren und die Produktion sensibler Güter wie in der pharmazeutischen Industrie essenziell.

Die fünf größten Sicherheitsherausforderungen

Industrielle Kontrollsysteme weisen eine Reihe spezifischer Eigenheiten auf, die sie anfällig für Cyberangriffe machen.

1. IT/OT-Konvergenz vergrößert die Angriffsfläche
   Einerseits verspricht eine zunehmende Konvergenz eine bessere Integration und Transparenz der Systeme und somit optimierte Prozesse, andererseits vergrößert die Vernetzung zwangsläufig die Angriffsfläche und das Risiko von Schwachstellen in diesen neu verbundenen Systemen. Hinzu kommt, dass die OT-Infrastruktur vieler Unternehmen nur unzureichend vor Cyberangriffen geschützt ist. Das liegt vor allem daran, dass traditionelle IT-Sicherheitswerkzeuge nicht zum Schutz von OT-Umgebungen eingesetzt werden können: In aller Regel „sprechen“ sie nicht die richtige Sprache und haben zudem das Potenzial, kritische Prozesse zu stören. Dies kann zu Produktionsausfällen oder gar physischen Schäden führen.
2. Veraltete Systeme mit unzureichenden Cybersecurity-Fähigkeiten:
   Ein weiteres großes Problem ist die Fülle an veralteter Technologie in industriellen Umgebungen. Viele Steuersysteme wurden vor Jahrzehnten gebaut und in Betrieb genommen, wobei Konnektivität oder gar Cybersecurity in der Entwicklung keine Rolle gespielt haben. Entsprechend verfügen sie nicht über grundlegende Security-Funktionen wie Verschlüsselung und Authentifizierung, um sie vor modernen, fortschrittlichen Cyberangriffen zu schützen. Anlagenbetreiber stehen im Spannungsfeld zwischen der Notwendigkeit, die physische Sicherheit sowie die Verfügbarkeit aufrechtzuerhalten, und der Notwendigkeit, die Systeme vor Cyberangriffen zu schützen. Jegliche Änderungen an bestehenden Technologien könnten industrielle Prozesse beeinträchtigen und erfordern einen strategischen Ansatz, der die Verfügbarkeit aufrechterhält und gleichzeitig die Angriffsfläche eines Unternehmens reduziert.
3. Unsicherer Fernzugriff
   Viele industrielle Steuerungssysteme weisen keine ausreichenden Zugangskontrollen auf. Dies erleichtert es Angreifern, sich unberechtigten Zugang zu verschaffen, entweder direkt oder über Dritte, die zum Zugriff auf kritische Systeme berechtigt sind. Der sichere Fernzugriff ist ein entscheidender Faktor, da viele Unternehmen Herstellern und Partnern Zugang für Wartung und Support der Anlagen gewähren müssen. Dabei stellen insbesondere Drittanbieter eine Herausforderung dar, da sie in aller Regel über ihre eigenen Fernzugriffslösungen eine Verbindung zur OT-Umgebung herstellen. Dies führt zu hohem administrativem Aufwand und erheblicher Komplexität bei gleichzeitig mangelnder Transparenz. Gerade dies erhöht die Gefahr von Remote-Angriffen erheblich.
4. Langsames Schwachstellenmanagement
   Ausfallzeiten sind in industriellen Umgebungen extrem teuer. Entsprechend selten sind auch Wartungsfenster. Dennoch müssen Schwachstellen in industriellen Steuerungssystemen und Protokollen identifiziert, priorisiert, entschärft und behoben werden. Hier kommt der Priorisierung eine Schlüsselrolle zu: Schwachstellen sollten nicht einfach nach dem (abstrakten) Schweregrad adressiert werden, sondern basierend auf den tatsächlichen potenziellen Auswirkungen im entsprechenden System.
5. Angreifer nehmen ICS-Schwachstellen immer häufiger ins Visier
   Industrielle Steuerungssysteme werden immer öfter das Ziel von Ransomware-Attacken und ausgeklügelten Cyberangriffe wie Advanced Persistent Threats (APTs). APT-Akteure wie Sandworm haben maßgeschneiderte Tools entwickelt, um gezielt Industrieanlagen anzugreifen und dabei möglichst lange unentdeckt zu bleiben. Eine chinesische Gruppe hat „Angriffswaffen“ in kritische Infrastrukturen in den USA eingebaut, die im Falle eines militärischen Konflikts aktiviert werden könnten. Der Vorfall bei Colonial Pipeline im Jahr 2021 hat gezeigt, dass auch verhältnismäßig einfache Ransomware-Angriffe drastische Auswirkungen haben können – nicht nur auf das betroffene Unternehmen, sondern auf weite Teile der Wirtschaft und Gesellschaft. Zudem wird das Vertrauen der Bevölkerung in den Schutz durch den Staat mittels solcher Attacken massiv untergraben. Genau deshalb sind diese Angriffe auch für politisch motivierte Angreifer interessant.

Bausteine einer effektiven industriellen Cybersicherheit

Um diese Herausforderungen erfolgreich zu adressieren, bedarf es einer durchdachten ICS-Security-Strategie. Diese sollte insbesondere folgende Punkte umfassen:

Inventarisierung als Basis für ICS-Sicherheit

Der erste Schritt zur Risikominimierung und zur Erhöhung der Cyber-Resilienz in vernetzten ICS-Umgebungen ist die Erstellung eines detaillierten Asset-Inventars. Man kann nicht schützen, was man nicht sehen kann. Deshalb ist die Bestandsaufnahme der Anlagen die Grundlage jeder profunden ICS-Sicherheitsstrategie. Moderne Anbieter von industrieller Cybersecurity sind in der Lage, ein umfassendes und vollständig automatisiertes Anlageninventar zu erstellen, das Sicherheitsverantwortlichen eine tiefgreifende Transparenz der Anlagen ermöglicht – bis hin zu Informationen über das Betriebssystem oder die Firmware. Diese granulare Transparenz ist der Schlüssel zur Identifizierung der heterogenen Zusammensetzung aus neuen und alten Geräten in ICS-Umgebungen.

Exposure Management zur Priorisierung von Abhilfemaßnahmen

Es ist für Unternehmen schlichtweg unmöglich, sämtliche Schwachstellen in ihren Assets gleichzeitig zu adressieren. Ein effektives Exposure Management hilft Sicherheitsverantwortlichen dabei, das Risiko gezielt zu reduzieren. Dabei werden unterschiedliche Faktoren berücksichtigt, etwa bekannte ausgenutzte Schwachstellen, unsichere Verbindungen oder mangelhafte Zugriffskontrollen. Durch die Konzentration auf die am stärksten gefährdeten Systeme auf der Grundlage dieses Ansatzes kann ein Unternehmen die mit dem höchsten Risiko schützen. Idealerweise werden dabei die Assets automatisch mit Schwachstellen- und Risikoinformationen korreliert. Je nachdem, wie kritisch das Risiko für den Betrieb ist und wie es sich auf die Sicherheit auswirkt, können dann Prioritäten für die Behebung der Probleme gesetzt werden. An die Stelle Asset-zentrierten Risikominimierung tritt so eine Impact-zentrierte, welche die tatsächlichen potenziellen Auswirkungen ins Blickfeld nimmt.

OT-Netzwerksegmentierung stärkt die Cyber-Resilienz

Eine intelligente Segmentierung des Netzwerkes, also die Aufteilung eines Netzwerks in kleinere, isolierte Teilnetze oder Zonen, ist ein fundamentaler Baustein einer OT-Sicherheitsstrategie. Sie schafft Barrieren, die ein Angreifer überwinden muss, wodurch der Schaden einer Attacke deutlich reduziert werden kann. Erfahrene Sicherheitsanbieter verfügen über ein entsprechendes Know-how, um Segmentierungsrichtlinien zu empfehlen, die einfach und automatisch über die bestehende Infrastruktur durchgesetzt werden können.

Proaktive Bedrohungserkennung identifiziert Angriffsvektoren

Für eine effektive Bedrohungserkennung muss die komplette digitale Umgebung kontinuierlich überwacht werden. Nur so lassen sich verdächtige Aktivitäten, Schwachstellen und potenzielle Cyberangriffe frühzeitig erkennen, bevor sie größeren Schaden verursachen oder gar die öffentliche Sicherheit gefährden. Darüber hinaus ist es angesichts der steigenden Bedrohungslage von größter Wichtigkeit, auch proaktiv nach Anomalien, Abweichungen vom normalen Netzwerkverhalten und Indikatoren für eine Kompromittierung (Indicators of Compromise, IoCs) zu suchen. Auf diese Weise lassen sich Angriffsvektoren präzise identifizieren und Attacken abwehren.

Der Schutz industrieller Kontrollsysteme vor Cyberangriffen ist kein leichtes Unterfangen. Die Herausforderungen sind erheblich größer als in der IT. Gleichzeitig steht deutlich mehr auf dem Spiel: Stehende Produktionsanlagen verursachen enorme Kosten – in jeder Minute. Und doch ist der enorme finanzielle Schaden nicht einmal das Worst-Case-Szenario: Störungen in der kritischen Infrastruktur und in Produktionsbetrieben können eine reelle Gefahr für Menschenleben bedeuten. Gleichzeitig nehmen Angreifer diese Anlagen immer häufiger ins Visier. Höchste Zeit also, den Schutz der cyber-physischen Systeme zu priorisieren.