Zwischen Industrie 4.0 und „Einbruch 2.0“

Anbieter zum Thema

Vogel IT-Akademie

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Wenn Maschinen plötzlich kommunizieren sollen

Wer sich vor Augen führt, welche Menge an Sicherheitslücken in herkömmlicher Anwendungssoftware regelmäßig gefunden wird, die tagtäglich mit dem Internet in Kontakt tritt, mag sich kaum ausmalen, wie es um die Sicherheit einer Anlagensoftware steht, die nie diesem Evolutionsdruck ausgesetzt war.

Die Erfahrungen der Vergangenheit zeigen zudem, dass Produktbereiche, in denen IT neu Einzug hält, oftmals eine besondere Verwundbarkeit zeigen: in diesen Schnittstellenbereichen trifft altbewährte Technik mit Insel-Charakter auf die brückenschlagende Welt der Vernetzung – gepaart mit Herstellern, die zwar firm in ihrem angestammten Fachgebiet, aber leider meist nicht in Sachen IT-Sicherheit sind.

Nachlässigkeiten der Absicherung, die in isolierten Insel-Umgebungen keine Rolle spielten, werden in einer vernetzten Welt zum Risiko. Beispiele lassen sich im Internet zu Hauf finden.

Ergänzendes zum Thema

Über Stefan Tomanek

Stefan Tomanek

Stefan Tomanek studierte „Angewandte Informatik“ an der Universität Duisburg-Essen und schloss sein Studium als Diplom-Informatiker ab. Neben seiner selbständigen Entwicklungs- und Beratungs-Tätigkeit für zahlreiche Unternehmen war er vier Jahre lang als wissenschaftlicher Mitarbeiter am Gelsenkirchener Institut für Internet-Sicherheit an der Westfälichen Hochschule tätig.

Hier stand er auf zahlreichen Messen, Kongressen und Firmenschulungen als „Live-Hacker“ auf der Bühne, um plastisch und realitätsnah die Risiken und Gefahren der Informationslandschaft zu präsentieren. Hinter den Kulissen führte er zahlreiche Penetrationstests an der Infrastruktur von Unternehmen und Behörden durch, um ebenjene Schwachstellen zu identifizieren und zu schließen – ein Feld, das durch die immer weiter fortschreitende Vernetzung und Prävalenz von Computersystemen stets interessant bleibt.

Heute arbeitet Stefan Tomanek für ein internationales Unternehmen der Internet-Branche am Standort Zürich, erforscht jedoch auch weiterhin auf eigene Faust den Zwiespalt zwischen neuen Möglichkeiten und den damit einhergehenden Gefahren.

Erschreckend reale Proof-of-Concepts

So existieren Steuerungssysteme für Tanklager, die neben Füllstandsmeldungen auch die Möglichkeit bieten, den Tank zu entlüften und andere Wartungsarbeiten vorzunehmen – sofern der Techniker die entsprechenden Kommandos über den seriellen Anschluss erteilt, also physischen Zugriff auf das Gerät hat.

In einer späteren Version wurde natürlich auch diese Anlage „smart“, also netzwerktauglich gemacht. Das Ergebnis war, dass man heute dutzende Tanklager findet, die sich über das Internet steuern lassen – natürlich ohne Authentifizierung und Verschlüsselung, denn diese war im ursprünglichen Konzept nicht nötig.

Ein führender deutscher Hersteller der Gebäude-Automation lieferte Steuergeräte mit Standardpasswörtern und -zugriffsregeln aus, die jedermann mit Netzzugriff nicht nur erlauben, die Lüftung, Heizung und Klimaanlage in zahlreichen Fabriken, Büros, Schulen und Kirchen zu steuern, sondern die Geräte komplett zu übernehmen – und zum Beispiel als Brückenkopf für weitere Exkursionen im Netz zu verwenden.

Selbst die einfachste und wohl bekannteste Kennzeichnungsmethode für Waren ist vor Angriffen nicht gefeit: wer den richtigen Strichcode-Aufkleber mitbringt, kann auch in seinem örtlichen Super- oder Möbelmarkt die Scanner der Kassensysteme umprogrammieren. Zwar leiten diese meist nur stupide die kodierten Zahlen der EAN an die Kasse weiter, mit speziellen Anweisungen, die praktischerweise per Barcode eingelesen werden, können sie aber auch angewiesen werden, umfangreiche Umformungen der Codes vorzunehmen und beliebige Kommandos auszuführen.

Es zeigt sich, dass bei einer Sicherheitsanalyse stets das Gesamtsystem mit allen beteiligten Komponenten betrachtet und dass eingehenden Daten stets misstraut werden muss. Gerade etablierte Verfahren und Anlagen, die nicht von Grund auf mit Hinblick auf Sicherheit konzipiert wurden, stellen in Kombination mit den erweiterten und Kommunikationsbedürfnissen ein potenziell Risiko dar: eine unzureichend abgesicherte Anlage der „Industrie 4.0“ wird so schnell zum unfreiwilligen Steigbügelhalter des „Einbruchs 2.0“.

(ID:44024264)