Wilhelm Petersmann, Vice President und Managing Director Austria & Switzerland bei Fujitsu © Fujitsu
Die industrielle Sicherheit stellt das Fundament für das Internet der Dinge und die smarte Produktion dar. Ein Gastkommentar von Wilhelm Petersmann, Fujitsu.
Sowohl im Privat- als auch im Berufsleben ist es nahezu unmöglich, ohne Internet auszukommen. Dem sind sich auch Cyberangreifer bewusst, die mit schädlicher Software Systeme komplett lahmlegen. Die industrielle Sicherheit stellt daher das Fundament für das Internet der Dinge (IoT) und die smarte Produktion dar.
2015 war die ukrainische Stromversorgung im Visier der Angreifer, die „Black Energy 3“ lancierten, um SCADA-Systeme (Supervisory Control And Data Acquisition Systeme zur Steuerung) in 30 Umspannstationen zu stören. Dadurch blieben fast eine Viertelmillion Menschen mehrere Stunden ohne Strom. 2017 unterbrach die Ransomware „WannaCry“ die LKW-Produktion von Renault, beim Logistik-Unternehmen Maersk richtet die Malware Schäden in Höhe von rund 300 Millionen US-Dollar an.
Während Black Energy auf operative Anlagen zielt, greift WannaCry die klassische IT-Infrastruktur an – die Effekte sind jedoch ähnlich: Die Kernprozesse in der Produktion stehen still – mit negativen Folgen für Unternehmen, Kunden, Lieferanten und Mitarbeiter. Angriffe auf SCADA-Systeme erfordern Spezialwissen, WannaCry hingegen nutzt Schwachstellen der Windows-Systeme und dringt in IT-Systeme ein – keiner ist zu klein oder unbedeutend, um nicht Opfer eines Cyberangriffs zu werden.
Die Angriffsgründe sind divers: Bei dem Computerwurm Stuxnet ist ein politischer Hintergrund erkennbar, bei Ransomware (wie WannaCry) wird Geldbeschaffung vermutet und durch die Digitalisierung von Unternehmen und Industrie 4.0 kommen neue Gründe hinzu. Es geht dabei nicht nur um die Störung von Produktionsprozessen, sondern oft auch um geistiges Eigentum, das es zu schützen gilt. Bekommt ein Eindringling Einblicke in Produktionsprozesse, kann er großen Schaden anrichten.
Sicherheit muss von Anbeginn mitgedacht werden, bezieht sich aber auch auf bestehende Anlagen, die ursprünglich nicht für den Einsatz einer vernetzten Produktion geplant waren. Oftmals haben jene, die für IT und jene, die für OT (Operational Technology) zuständig sind, einen unterschiedlichen Ansatz, was Sicherheit betrifft. Um diese Kluft zu überbrücken und die Wichtigkeit von sicheren Prozessen zu betonen muss der Begriff „Qualität“ ausgeweitet werden. Wird Sicherheit als Qualitätsmerkmal verstanden, findet sie auch den Weg in die Köpfe der Mitarbeiter. Dabei kann Sicherheit im Detail verschiedenes bedeuten: Datensicherheit in der IT (ISO 2700), Schutz von personenbezogenen Daten (DSGVO) oder „Safety“ (Unversehrtheit von Menschen) sowie die Zuverlässigkeit und Robustheit von Produktionsprozessen (IEC 62443, NIS) aus der Produktionssicht.
Neben einer adäquaten Governance muss auch die technische Architektur Sicherheit einschließen. Ein erster Schritt in der Umsetzung ist die konsequente Trennung der Netzwerke – sowohl zwischen IT und Produktion als auch innerhalb der Produktion, um potenziell unsicherere Anlagen abzuschotten.
Zu Beginn geht es primär um die Geschäftsprozesse. Das Wissen, welche Prozesse kritisch sind, führt zu abgestuften Investitionen, um das Geschäftsrisiko zu minimieren. Auf die initiale Umsetzung der sicheren Architektur folgt die kontinuierliche Überwachung und Aufrechterhaltung der Sicherheit. Dabei müssen IT und OT eng zusammenarbeiten, um im Ernstfall die richtigen Schritte zu setzen – wichtig ist es, die Zusammenarbeit in Stresssituationen systematisch zu üben.
Die Anforderungen an Unternehmen sind groß, aber glücklicherweise ist Unterstützung verfügbar. Anbieter wie Fujitsu bieten spezielle Consulting Services, Edge-Produkte und Security-Dienstleistungen, um dabei zu helfen, die Möglichkeiten der Digitalisierung sicher auszuschöpfen und Angreifer zuverlässig fern zu halten.
Unsere Erfahrung hat gezeigt, dass es sich lohnt, mit der Digitalisierung bei der Produktion anzufangen. Aber bitte auf einer sicheren Basis!
Wilhelm Petersmann ist Vice President und Managing Director Austria & Switzerland bei Fujitsu.