Die vierte Stufe der industriellen Revolution hat nichts weniger als die ganzheitliche Digitalisierung der gesamten Wertschöpfungskette zum Ziel – von der Produktion bis zur Logistik. Doch die dafür nötige Vernetzung hat zur Folge, dass die bisherigen Sicherheitsmaßnahmen nicht mehr ausreichend sind. Unternehmensübergreifende Netzwerke verlangen nach einem neuen Ansatz für sichere Kommunikation in Produktionsnetzwerken und die Verbindung mit der Office-IT.
Grundlage des neuen industriellen Quantensprungs ist der Übergang von der Massenfertigung zur Massen-Individualisierung. Der moderne Kunde erwartet auf ihn zugeschnittene Produktauswahl, Lieferwege und Support. Auf diese Erwartungshaltung reagieren Unternehmen mit dem Aufbau hochflexibler Produktionsumgebungen, deren Erzeugnisse auch im laufenden Betrieb geändert und ausgetauscht werden können. Und diese Flexibilität wird in jedem Unternehmensbereich gefordert: Produktplanung, Fertigung bis hin zum Lieferantenmanagement sind nicht länger isolierte Sektoren, sondern ein firmenumspannendes Netzwerk. Diese Vernetzung geht im Zeitalter von IoT und Industrie 4.0 sogar zunehmend über die eigene Unternehmensebene hinaus. Um mit globalen Großanbietern konkurrieren zu können, schließen sich gerade kleine und mittelständische Unternehmen zu Kooperationsnetzwerken zusammen – mit dem Ziel, ihre Produkte und Dienstleistungen in wettbewerbsfähiger Stückzahl und Qualität auf den Markt zu bringen.

Grundvoraussetzung sichere Kommunikation

Moderne Technologie ermöglicht eine derartige Zusammenarbeit über etliche Zeitzonen und Kontinente hinweg. Die Kommunikation zwischen Unternehmen und zwischen Maschinen (Machine-to-Machine, kurz M2M) ist der Hauptgrund für den massiven Anstieg des Datentransfervolumens weltweit. Der Netzausrüster Cisco geht beispielsweise in seinem Visual Networking Index 2017 davon aus, dass im Jahr 2021 weltweit an die 11,6 Milliarden mobile Systeme im Einsatz sind. Bei 29 Prozent handelt es sich um M2M-Module und entsprechende Verbindungen über Mobilfunknetze.

All diese Daten und Verbindungen müssen hinreichend gesichert sein, um Compliance- bzw. Gesetzesrichtlinien gleichermaßen zu erfüllen und Missbrauch sowie Industriespionage einen Riegel vorzuschieben. Die Plattform Industrie 4.0 des Bundesministeriums für Energie und Wirtschaft bringt es in ihrem Papier zur IT-Security auf den Punkt: „Die technische Grundvoraussetzung, um solche Kooperationsnetzwerke zu realisieren, ist der Schutz der Kommunikationskette vor Dritten“.

Vertrauens-Broker

Hier kommen die „Trust Broker“ ins Spiel. Diese sind das Kernelement einer durchgängig abgesicherten Kommunikationsinfrastruktur. Sie sorgen dafür, dass nur Elemente, die sich wechselseitig als vertrauenswürdig einstufen, auch Daten miteinander teilen –  nicht-autorisierte Dritte bleiben außen vor. Diese Authentisierung kann aus unterschiedlichen digitalen Komponenten, wie etwa Zertifikaten, bestehen. Unter den Sammelbegriff Trust Broker fallen weiterhin Lösungen, die die Vielzahl der Geräte und Accounts innerhalb eines modernen Firmennetzwerks kontrollieren und verwalten. Dieses „Identity and Access Management“ (IAM) beschäftigt sich nicht länger mit der Identität einer Person, sondern mit der sogenannten „Entity“. Diese bildet alle und alles ab, was eindeutig identifizierbar ist und individuell verwaltet werden kann. Hierzu müssen IAM-Lösungen stärker die automatisierte Verwaltung großer Mengen von Objekten (Devices, Sensoren, Aktoren, Systeme) und neue Architekturen im industriellen Umfeld unterstützen. Sichere Authentifizierungs- und Sign-On-Verfahren sind wichtige Eckpfeiler solcher Architekturen. Die Schaffung einer „föderierten“ Identität ermöglicht es einem Unternehmen, mit Partnern und Kunden eine bestehende Authentisierungs-Infrastruktur gemeinsam zu nutzen. Das erspart den Beteiligten, jedes Mal erneut Identitätsinformationen auszutauschen und zu verifizieren. Das System greift automatisch auf vorhandene (Zwei-Faktor-) Authentisierungsverfahren zu.

Sichere Zellen, Komponenten und Updates

Innerhalb jedes Unternehmensprozesses gibt es einzelne Komponenten, die besondere Schutzmaßnahmen erfordern. Das durchgängige Security-Konzept der Industrie 4.0 fasst diese in „Secure Cells“ zusammen. Diese Zellen, bestehend aus „Trustworthy Components“ (vertrauenswürdige Geräte, die miteinander kommunizieren dürfen), werden entsprechend mit zusätzlichen Maßnahmen abgesichert. Sie können von Monitoring über Zugriffsbeschränkung auf wenige „Privileged User“ bis zum Abschalten aller nicht-essentiellen Funktionalitäten reichen.

Ferner hat das Thema Patch-Management eine besondere Bedeutung. Die jüngsten Ransomware-Attacken von WannaCry und Petya bedienten sich Schwachstellen des Betriebssystems, um hunderte Nutzer von ihren Computern auszusperren, darunter zahlreiche Unternehmen, Krankenhäuser und Ämter weltweit. Ein simples Update hätte diese Lücken behoben. Deshalb werden sich auch OT (Operations Technology)-Fachleute daran gewöhnen müssen, dass Systeme aus dem Automatisierungsbereich regelmäßig Sicherheits-Updates und Patches benötigen. Das erfordert ein Umdenken bei den Fachkräften, etwa aus dem Maschinenbauumfeld, sowie gezielte Schulungsmaßnahmen. Zudem ist es erforderlich, ein Patch-Management-System für Industriekomponenten zu implementieren. Dies sollte mit Unterstützung von spezialisierten IT-Partnern erfolgen, die über weitreichende Erfahrungen mit solchen Lösungen verfügen.

Um die Kommunikation in Industrie 4.0-Umgebungen auch mit Hardware abzusichern, können Unternehmen auf Vertrauensanker oder „Root of Trust“ zurückgreifen. Diese speziell gesicherten Hardware-Module enthalten Informationen in Form von Schlüsseln und  Zertifikaten. Ein vergleichbares Konzept sind in der IT-Welt TPM-Module (Trusted Platform Module). Ein Vertrauensanker stellt mit Sicherheitsmechanismen wie digitaler Signatur und Verschlüsselung sicher, dass nur autorisierte Systeme miteinander Informationen austauschen können. Ein Vorteil von Hardware-basierten Lösungen ist das hohe Sicherheitsniveau und der Schutz vor Manipulationen.

Ausblick

IoT- und Industrie-4.0-Konzepten gehört zweifellos die Zukunft. Ein Hochtechnologieland wie Deutschland ist darauf angewiesen, ihre Vorteile zu nutzen, wenn es konkurrenzfähig bleiben möchte. Das Zusammenwachsen von Produktionsumgebungen und der Unternehmens-IT kann angesichts zunehmender Cyberattacken – seien sie wirtschaftlich oder politisch motiviert – jedoch nur auf Basis der Umsetzung eines angemessenen Sicherheitskonzeptes weiter gedeihen. Die gute Nachricht dabei ist, dass es effektive Lösungen gibt, die IoT- und Industrie-4.0-Umgebungen wirkungsvoll schützen. Nun ist es an Unternehmen, diese vorausschauend zu implementieren. Wo es noch keine passenden Lösungen gibt, sollten Unternehmen kompensierende Maßnahmen treffen, wie zum Beispiel die Abschottung von kritischen Komponenten auf Netzebene. Ferner sollte die Entwicklung langfristiger Sicherheits- und Schnittstellenstandards weiter vorangetrieben werden, damit die Gerätehersteller in der Lage sind, Sicherheitsmechanismen zu implementieren, die herstellerübergreifend kompatibel sind.