Ohne Security keine Industrie 4.0

Auf dem Weg zu Industrie 4.0 müssen Unternehmen nicht nur ihre Produktions- und Office-IT vernetzen, sondern zwingend auch ihre Sicherheitssysteme aufrüsten. Denn etablierte Security-Konzepte reichen für die vernetzte Industrie nicht aus. [...]

Die durchgängige Digitalisierung und Vernetzung von Prozessen, Dienstleistungen und Supply Chain im Rahmen von Industrie 4.0 wird die wirtschaftliche Produktion tiefgreifend transformieren und die gesamte industrielle Wertschöpfungskette durchdringen. Damit einher gehen Flexibilitäts- und Effizienzsteigerungen, aber eben auch bislang schwer zu überblickende Anforderungen an IT-Infrastrukturen und IT-Sicherheit. Denn wenn riesige Datenmengen in Echtzeit Prozesse beeinflussen und Maschinen untereinander interagieren, dann spielt die Zuverlässigkeit solcher Systeme eine zentrale Rolle.

Waren Produktionsanlagen bislang von der Außenwelt abgeschottet, werden durch die Digitalisierung zunehmend Verbindungen aufgebaut und die Wertschöpfungsprozesse für verschiedene Akteure geöffnet. Dies erfordert eine flexiblere IT-Architektur und neue IT-Sicherheitsmanagementprozesse, die über Unternehmensgrenzen hinweg etabliert werden müssen. IT-Security ist daher eine der elementaren Voraussetzungen für die Umsetzung und den Erfolg von Industrie 4.0. Bislang stehen jedoch viele Unternehmen den Bedrohungen eher orientierungslos gegenüber, es fehlen klare gesetzliche Regularien und ein technologisches Gesamtkonzept zum Schutz der vernetzten Industrie.

Die größten Bedrohungen
Gemäß dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) sind die größten Sicherheitsbedrohungen für Industrie 4.0 die Infektion mit Schadsoftware über Internet und Intranet, das Einschleusen von Schadsoftware über Wechseldatenträger und externe Hardware, Social Engineering, Menschliches Fehlverhalten, Sabotage sowie Einbruch über Fernwartungszugänge. Daher sollten Unternehmen schon jetzt umfassende technologische und organisatorische Sicherheitsmaßnahmen einführen, um ihre Produktionssysteme zu schützen. Denn sonst droht Wirtschaftsspionage, wie Diebstahl interner Produktinformationen zur Herstellung von Plagiaten, der Abfluss von Wissen oder Sabotage.

Zudem müssen Modelle und Tools langfristig in der Lage sein, auch komplexe Prozesse abzubilden. Nur so können Entscheidungsträger fundierte Entscheidungen im Zusammenhang mit organisatorischen IT-Sicherheitsmaßnahmen treffen. Es ist nicht damit getan, die etablierten Sicherheitskonzepte aus der Office-Welt zu adaptieren. Auch wenn die IT-Landschaft dort inzwischen weitgehend standardisiert ist und sich Applikationen unternehmensweit ausrollen lassen, sind die IT-Systeme in der industriellen Produktion speziell und erfordern individuelle Ansätze. Nur so lassen sich künftig Sicherheitsanforderungen vernetzter und automatisierter Fertigungsmethoden und dynamischer Wertschöpfungsnetze umsetzen.

Einen schnellen Erfolg verspricht die Integration von speziellen Firewalls und Intrusion-Prevention-Systemen (IPS) für die Produktion. Sie müssen physisch robuster sein als für die Office-IT sowie andere Montage- und Stromversorgungsstandards einhalten, etwa Gleich- statt Wechselstrom, und für die DIN-Schienenmontage geeignet sein. Zusätzlich empfiehlt sich die Segmentierung des Netzwerks in mehrere Zonen, damit Schadsoftware nur einen begrenzten Abschnitt befällt.

Als Härtungsmethode für Produktionsmaschinen eignet sich Application Whitelisting. Damit werden alle Programme und Vorgänge verboten, die nicht ausdrücklich erlaubt sind. Hierfür wird in einem zentralen Management-Interface für jedes Endgerät ein Profil mit erlaubten Anwendungen angelegt. Die Erstkonfiguration ist zwar mit Aufwand verbunden, doch anschließend läuft das Sicherheitssystem ohne Änderung weiter, solange sich an den Herstellungsprozessen nichts ändert.

Als organisatorische Maßnahme ist heute ein abgesicherter VPN-Zugang zur Fernwartung der Produktions-IT bereits üblich. Im Vergleich zu Office-Systemen muss die entsprechende Plattform jedoch über weitere Funktionen verfügen. Dazu gehören je nach Anforderung ein nicht-personalisierter Zugriff auf Produktionssysteme, Nachvollziehbarkeit aller Wartungsvorgänge und einfache Freischaltung für Wartungszugriffe – im Notfall auch am Regelprozess vorbei. Daher sind ein sicheres Zugangsgateway, Session-Recording und zentrales Logging wichtige Elemente einer Fernwartungsplattform.

Während klassische Produktionsprozesse oft mehrere Jahre lang weitgehend unverändert bleiben, ändern sie sich durch selbstregelnde Systeme ständig. Daher müssen Unternehmen die Verantwortlichkeiten im Rahmen des Security- und Risk-Managements klar zuweisen. Hierfür bietet sich die bewährte RACI-Methode (Responsible, Accountable, Consulted, Informed) an. Diese Begriffe stehen grob übersetzt für Durchführungsverantwortung, rechenschaftspflichtige Kostenverantwortung, Fachverantwortung und Informationsrecht.

Echtzeit-Monitoring
Als technologische Maßnahme dient das Echtzeit-Monitoring aller Logdateien von Netzwerkgeräten, Steuerungssystemen und Firewalls zur Gewährleistung der Nachvollziehbarkeit. Zudem ist es ratsam, ein umfassendes Cyber Defense Center aufzubauen. Im ersten Schritt ist hierzu die Definition der Sicherheitsrelevanz aller Daten erforderlich. Zentrale Management-Lösungen führen die kritischen Daten aus der IT-Infrastruktur zusammen. So verknüpft beispielsweise ein Security Information and Event Management (SIEM) viele Informationen miteinander und erzeugt daraus Sicherheitsevents. Werden diese unter Einsatz forensischer Methoden analysiert, lassen sich auch nicht vorhergesehene Angriffsmuster aufdecken.

Die Zentrale, in der die beschriebenen Maßnahmen zusammenfließen sowie zentral überwacht und gesteuert werden, ist das Security Operation Center (SOC). Es bietet einen Überblick sowie bei Bedarf detaillierte Informationen über Aufgaben, Tools, Organisation und Rollen, Patch-Status, Malware-Aktivität und Verfügbarkeit sowie Compliance Level, Bedrohungsniveau und Betriebsunterbrechungen. Damit haben Unternehmen die Sicherheit ihrer Produktions-IT und ihrer Office-IT immer im Blick.

*Der Autor Dror-John Röcher ist Lead Consultant Secure Information bei Computacenter.