Schwachstellen in der Industrie Cyberbedrohungen in der Fertigungsindustrie

Anbieter zum Thema

TXOne Networks

Eye Security GmbH

TÜV Rheinland Consulting GmbH

TÜV Rheinland Group

Welche Bedeutung haben Bedrohungen in einer Zeit, in der Cyberattacken aus der digitalen Welt in die physische Welt herüber schwappen? Welchen Einfluss hat es auf Wirtschaft und Gesellschaft, wenn es fremden Mächten gelingt, dass Uran-Anreicherungs-Anlagen im Iran ausfallen?

Angefangen hat alles vermutlich zu Beginn der 2000er Jahre. Die Pläne des Irans, eine aufstrebende Atom-Macht zu werden, wurden immer offensichtlicher. Publik wurden Bedrohungsszenarien dieser Art als 2007 von einer unbekannten Person ein Code-Schnipsel auf die Website eines Antiviren Software-Anbieters hochgeladen wurde. Erst später stellt sich heraus, dass man zu dem Zeitpunkt die erste Variante des Computerwurms Stuxnet zu Gesicht bekommen hatte. Es sollte aber noch mehr als 5 Jahre dauern, bis das komplette Ausmaß dieses Angriffes bekannt wurde . Vier Zero-Day-Exploits, ein gefälschtes digitales Zertifikat und das Einschleusen der Malware zunächst durch einen Agenten und später über einen USB-Stick, führten zu einer allmählichen Erhöhung der Druck- und Rotationsgeschwindigkeit in den iranischen Urananreicherungs-Zentrifugen in Natanz. Die eingeschleuste Software manipulierte die Steuerungscontroller, die für die Druck- und Geschwindigkeitsreglung in der Anlage zuständig waren.

Die Häufigkeit und der Schweregrad von Angriffen nimmt seit Jahren zu und wird durch die Digitalisierung weiter beschleunigt. Schadsoftware wie Ransomware zeigt, dass auch die organisierte Kriminalität digital agiert. Das vergangene Jahrzehnt offenbarte zahlreiche Beispiele, welche Schäden Cyberangriffe dieser Art verursachen können. Die Tage des „weiter so“ sind vorbei. Mit der fortschreitenden digitalen Transformation geht unsere Gesellschaft einem Zeitalter signifikanter Sicherheitsrisiken entgegen. Ausfälle durch Cyberattacken können nicht nur Einzelpersonen beeinträchtigen oder Unternehmen erheblichen finanziellen Schaden zufügen, sie können vor allem enorme negative Auswirkungen auf die Gesellschaft und die Umwelt verursachen.

Komplexität der digitalen Transformation

Die Digitalisierung in der Fertigungsindustrie schlägt sich beispielsweise nieder in Automatisierungsprozessen, in der Skalierung von technischen Ressourcen und in der zunehmenden Agilität von Entwicklungsprozessen. Themen wie „künstliche Intelligenz“ und „maschinelles Lernen“ liegen auf dem Vorstandstisch. Gleichzeitig ist allerdings zu beobachten, dass im Umgang mit den Strukturen in Unternehmen, ein Gleichschritt mit der technologischen Entwicklung kaum bewältigt werden kann.

Kriminelle Akteure erleben ebenfalls eine digitale Transformation. Die daraus entstehenden Auswirkungen führen zu einem exponentiellen Anstieg der Risiken. Hierzu ein Beispiel: der größte jemals verzeichnete Geldraub im frühen 20. Jahrhundert war der „Great Train Robbery“ im Jahr 1963. Die Royal Mail wurde damals um 2.631.684 Britische Pfund erleichtert. Dem gegenüber steht ein Cyberangriff auf die „Bank of Bangladesh“ im Jahr 2016, bei dem die Cyberkriminellen zumindest zeitweise 951.000.000 US Dollar virtuell in den Händen hatten. Diese beiden Überfälle machen deutlich, dass sich auch Kriminelle den technologischen Fortschritt zu Nutze machen.

Ein Hindernis auf dem Weg zu mehr Cybersecurity in Fertigungsunternehmen ist der Umstand, dass unterschiedliche Unternehmensbereiche sich zu häufig voneinander abgrenzen. Die so entstehenden Silos stehen einer unternehmensweiten und übergreifenden Entwicklung von Cybersecurity oft im Weg. Die Folge ist eine erhöhte Verwundbarkeit gegenüber Cyberangriffen und eine permanente Unsicherheit darüber, ob man wirklich alle erforderlichen technischen Maßnahmen ergriffen hat.

Schwachstellen in der Industrie

TÜV Rheinland hat – anhand des Purdue-Modells für industrielle Anlagen – bekannte Schwachstellen und potenzielle Angriffe auf verschiedenen Ebenen analysiert (siehe Bild 2). Die zunehmende Verschmelzung von IT (Information Technology) und OT (Operational Technology) sorgt dafür, dass typische Schwachstellen aus dem IT-Umfeld – bei der Risikobetrachtung von OT-Umgebungen – in den Vordergrund rücken müssen. Digitalisierung und Vernetzung machen IT-Schwachstellen relevant für den sicheren Betrieb von Produktionsanlagen. Malware, eingeschleust durch Wartungszugänge und auf externen Datenträgern (zum Beispiel auf einem USB Stick), stellen weiterhin den häufigsten „Infektionsweg“ dar. Angriffs­wege verlaufen aber auch zunehmend direkt aus dem Internet über Level 5 und 4 und bahnen sich ihren Weg durch die Operational Technology (Level 3, 2 und 1). Ist der Angreifer bis zu den OT-Leveln vorgedrungen, hat dieser aufgrund der Vielzahl von offenen Schwachstellen alle Möglichkeiten, umfassenden Schaden anzurichten. Von einem Ausfall des Betriebs bis hin zu physischen Schäden an Mitarbeitern, durch Manipulation von Sensoren und Aktoren (Level 0).

Seit Stuxnet entwickeln Angreifer kontinuierlich immer ausgefeiltere Malware und Angriffswege, die sicherheitstechnische Systeme (Safety Instrumented Systems, kurz: SIS) angreifen können und somit zunehmend eine Bedrohung für Mensch und Umwelt darstellen. Im Jahr 2017 wurde in diesem Zusammenhang der Trojaner Triton aufgedeckt. Triton hat die Eigenschaft mit sicherheitstechnischen Systemen zu kommunizieren und deren Programcode zu verändern. Eine mögliche Folge: die Notabschaltung funktioniert nicht mehr und eine Anlage gerät in kürzester Zeit in einen kritischen Zustand.

Im Dezember 2017 wäre es durch Triton in einem Kraftwerk in Saudi-Arabien beinahe zu einer Katastrophe gekommen. Auftretende Explosionen und die Freisetzung von Schwefelwasserstoffgas konnten nur aufgrund eines Fehlers im Vorgehen der Angreifer abgewendet werden. Diese Entwicklung ist besorgniserregend. Angreifer besitzen die Möglichkeit, großen Schaden anzurichten und nehmen auch Todesopfer in Kauf. Das zeigt: mit der Digitalisierung von Produktionsprozessen und deren Vernetzung entstehen automatisch Lücken in der Cybersicherheit von Produktionsanlagen. Dies wirkt sich auch zunehmend auf die funktionale Sicherheit aus.

Wachsende Bedeutung für Cybersecurity

Die größte Hürde ist nach Auffassung der Autoren der „richtige“ Umgang mit der Komplexität der digitalen Transformation in der Fertigungs- und Prozessindustrie. Das Thema Cybersecurity bekommt in diesem Kontext eine hohe Bedeutung. Produktionsabteilungen werden zunehmend fachliche Verantwortung für die Absicherungen ihrer Anlagen gegen Cyberangriffe übernehmen müssen. Die Verschmelzung von OT und IT muss auf Governance- und Management-Ebene unterstützt, gesteuert und beschleunigt werden. Unternehmen müssen davon ausgehen, dass sie trotz aller proaktiven Schutzmaßnahmen, Opfer von Cyberangriffen werden. Diese beeinträchtigen nicht nur Prozesse und Fertigung, sondern gefährden auch Mensch und Umwelt. Das Etablieren einer schnellen Angriffserkennung und -behebung ermöglicht den Schaden zu minimieren – und dies ist vor dem Hintergrund der Bedrohungslage unabdingbar.

Über die Autoren

Wolfgang Kiener (M.Sc.) leitet das Thema Advanced Threats im Cybersecurity-Umfeld bei TÜV Rheinland. Er verantwortet die strategische Entwicklung von Dienstleistungen im Bereich Threat Management und industrieller Sicherheit. Mit mehr als 15 Jahren Berufserfahrung in internationalen Großkonzernen wie Siemens, REWE, T-Systems, Verizon und CSC, steuert Kiener die Entwicklung von innovativen Dienstleistungen unter Berücksichtigung von technologischen und kommerziellen Gesichtspunkten. Kiener hält zahlreiche Zertifizierungen im Bereich IT und Cybersecurity wie CISSP, CISM, CRISC, CCSK, ITIL, ISO 27001 Lead Implementer und GIAC.

Jörg Zimmermann ist Principal Consultant für Cybersecurity bei TÜV Rheinland. Mit dem Erfahrungshintergrund einer langjährigen Tätigkeit als IT-Leiter für ein großes, international agierendes Unternehmens hat Jörg Zimmermann sich umfassende und internationale Expertise angeignet. Sein Beratungsschwerpunkt liegt auf der Managementberatung für CXOs. Sein Portfolio wird abgerundet durch Kenntnisse in strategischer Informationssicherheit, Governance, Risk & Compliance sowie Business Continuity Management.

(ID:46574610)