Während die IT-Sicherheit für alle Unternehmen eine große Bedeutung hat, stehen produzierende Unternehmen vor ganz neuen Herausforderungen: die Sicherheit der OT, der sogenannten Operational Technology. Hier geht es um den sicheren Betrieb der Maschinen und Produktionszellen auf dem »Shopfloor«, den Produktionsflächen der Fabriken.

Für Jahrzehnte wurden Produktionsanlagen von der IT unabhängig gesteuert und waren nicht mit dem Internet verbunden. Dies ändert sich im Moment rapide, da immer mehr industrielle Prozesse digitalisiert und vernetzt werden. Die dadurch bedingte immer engere Verflechtung von IT und OT machen die Produktion für kriminelle und staatliche Akteure leichter angreifbar. OT-Security ist das Gebot der Stunde.

Kann man das Wissen und »good practices« aus der IT-Sicherheit auf die OT übertragen? So einfach ist es leider nicht.

In der IT-Welt wird Hardware nur für wenige Jahre betrieben, in der Produktion laufen Anlagen oft für Jahrzehnte. Dies bringt neue Herausforderungen mit sich, zum Beispiel für den Umgang mit Sicherheitslücken und dem Patchen. Auch die Gewichtung der IT-Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit verschiebt sich: während in der IT die Vertraulichkeit oftmals priorisiert werden muss, liegt der Schwerpunkt in der OT auf der Verfügbarkeit: bei einer Produktionsanlage, die nicht läuft, kann man die Schäden in Form von Produktionsausfall sehr leicht beziffern und diese gehen schnell in die Millionen.

Das hat Konsequenzen: man kann eine Produktionsanlage nicht einfach mal vom Netz nehmen, in Ruhe patchen und dann wieder anlaufen lassen. Was ist, wenn dabei nicht nur eine Sicherheitslücke beseitigt, sondern – wir kennen das aus der IT – unbeabsichtigte Nebenwirkungen wie z.B. Veränderungen in Konfigurationsparametern den Wiederanlauf verzögern oder gar verhindern? Ähnliche Gedankengänge gelten für »good practices« wir dem Penetrationstesten. Nicht auszudenken, dass bei so einem Test eine Sicherheitslücke gefunden wird, dafür dann aber auch die ganze Fabrik erstmal stillsteht.

Neue Lösungsansätze sind gefragt!

Manche Sicherheitsthemen lassen sich in der OT besser adressieren als in der IT: Für das Risikomanagement bekommt man zum Beispiel viel einfacher die Aufmerksamkeit des Managements, weil sich die Konsequenzen von Risiken in Form von den Kosten eines Produktionsausfalls sehr gut beziffern und kaum abstreiten lassen.

Andere Themen wie das Assetmanagement sind dagegen hoch komplex: Hier gilt es erstmal zu definieren, was als Asset erfasst werden soll, welche Daten erhoben werden sollen und wie man vorgeht, um alle Assets aufzuspüren und dabei eine größtmögliche Automatisierung zu erreichen. Die Komplexität entsteht dabei vor allem durch das Zusammenspiel von technischen und organisatorischen Anforderungen. Ein Beispiel: die Kritikalität eines Assets ergibt sich meistens nicht aus dem Asset selbst, sondern wie es in Geschäfts- und Produktionsprozessen eingesetzt wird. Diese Informationen für die meisten Assets zu erfassen ist für Unternehmen eine große Herausforderung.

Noch ist der Ausfall der OT meistens ein Kollateralschaden von Angriffen auf die IT

Der »Initial Access«, das heißt der erste Zugang von Angreifern in ein Unternehmen, erfolgt in der Regel noch über die IT und nicht über Verwundbarkeiten in der Produktion. Das Herbeiführen eines Produktionsstillstands kann aber durchaus schon ein Angriffsziel sein.

Eins haben OT und IT gemeinsam: der Faktor Mensch spielt auch hier eine entscheidende Rolle. Oft tragen Dienstleister unabsichtlich die Malware auf zwei Beinen in die Fabrik, wenn sie zu Wartungszwecken ihren Laptop an die Produktionsanlage anschließen. So gelangt die Malware einfacher zur Maschine als durch Angreifer, die versuchen müssen, sich von außen über die IT bis in die Produktionszelle zu hacken.

Wo findet man Expertenwissen zu diesem Thema?

Unsere Erfahrung nach fast zwei Jahren intensiver Zusammenarbeit mit produzierenden Unternehmen im »Innovationsnetzwerk IT-Sicherheit in der Produktion«: am ehesten in den Unternehmen selbst. Denn hier stellen sich engagierte Mitarbeitende tagtäglich diesen neuen Herausforderungen und entwickeln kreative Lösungen. Was jetzt zu tun ist, ist dieses Wissen zusammenzuführen und zu vernetzen, so dass sich auch für die OT-Sicherheit möglichst schnell »good practices« herausbilden und diese mittelfristig standardisiert werden können.

Nachdem wir in diesem Blogbeitrag einen ersten Blick auf das Thema OT-Sicherheit geworfen haben, möchten wir in Folgebeiträgen auf einige der Themen wie Organisation von OT-Sicherheit, Assetmanagement und Netzwerksegmentierung, die im »Innovationsnetzwerk IT-Sicherheit in der Produktion« diskutiert wurden, noch näher eingehen. In Planung für 2024 ist auch ein »OT Security Day Stuttgart«.

Leselinks:

Christian Schunck

Autorenprofil - Website - LinkedIn



Kategorien: Digitalisierung, Mensch-Technik-Interaktion
Tags: , , ,