Keine Fabrik ist eine Insel Zwischen Industrie 4.0 und „Einbruch 2.0“

Informationstechnik findet sich mittlerweile in fast allen Aspekten des täglichen Lebens. Ohne einen „Smarten“ Nachfahren kommt nahezu kein altbekanntes technisches Gerät aus. Risiken erläutert der Autor in diesem Beitrag und auf der IT-SECURITY MANAGEMENT & TECHNOLOGY Conference 2016.

Anbieter zum Thema

Vogel IT-Akademie

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Waren Computer in ihrer Anfangszeit noch raumfüllende, lärmende Maschinen und später dann beigefarbene, brummende Kisten unter Büroschreibtischen, so haben sie sich in den vergangenen Jahren in zahlreichen Formen im Alltag verankert.

Früher waren Telefone, Fernsehgeräte und Armbanduhren simple Geräte, die genau eine ihnen zugedachte Aufgabe erfüllen konnten. Heute sind sie vollwertige Computer: Smartphones, Smart Watches, Smart Cars und auch das Smart Home sind allgegenwärtig und versprechen neue Möglichkeiten, an die man vor wenigen Jahren noch kaum dachte.

All diese Computer lassen sich flexibel auf jede neue Aufgabe ausrichten. Diese steigende Flexibilisierung macht nicht nur vor Privatwohnungen und Büros nicht halt. Sie findet ihren Weg zurück in die lärmenden Fertigungshallen der Industrie, in denen die virtuelle Welt der Informationsverarbeitung mit der höchst realen, physischen Welt zusammentrifft.

Die Möglichkeiten der Industrie 4.0

Diese Wandlung wird oft mit dem Schlagwort „Industrie 4.0“ versehen, um zu verdeutlichen, dass mit dieser vierten industriellen Revolution alles anders (und damit besser) werde: Werkstücke teilen den Maschinen selbst mit, wie sie bearbeitet werden sollen, die „Smart Factory“ organisiert den Durchlauf eigenständig, individuelle Kleinserien bis zur minimalen Losgröße „1“ werden möglich.

Ob der Begriff „Revolution“ tatsächlich gerechtfertigt ist, oder ob wir es mit einem evolutionären Prozess zu tun haben, sei dahingestellt. Viele der beschriebenen Ziele finden sich in vereinfachter Form bereits jetzt in den Produktionsbetrieben: wer sich beispielsweise durch die Konfigurations-Websites der Autohersteller geklickt hat, kann nachvollziehen, wie schon heute ein hoher Grad der Individualisierung möglich ist.

Jede Intensivierung der Automatisierungsbemühungen setzt eine Kommunikation zwischen den beteiligten Maschinen voraus – oft über die Firmengrenzen der Zulieferkette hinaus. Die vorhandenen Anlagen sind jedoch meist nie mit dem Gedanken konzipiert worden, sich mit potentiell böswilligen Kommunikationspartnern auseinanderzusetzen.

Wenn Maschinen plötzlich kommunizieren sollen

Wer sich vor Augen führt, welche Menge an Sicherheitslücken in herkömmlicher Anwendungssoftware regelmäßig gefunden wird, die tagtäglich mit dem Internet in Kontakt tritt, mag sich kaum ausmalen, wie es um die Sicherheit einer Anlagensoftware steht, die nie diesem Evolutionsdruck ausgesetzt war.

Die Erfahrungen der Vergangenheit zeigen zudem, dass Produktbereiche, in denen IT neu Einzug hält, oftmals eine besondere Verwundbarkeit zeigen: in diesen Schnittstellenbereichen trifft altbewährte Technik mit Insel-Charakter auf die brückenschlagende Welt der Vernetzung – gepaart mit Herstellern, die zwar firm in ihrem angestammten Fachgebiet, aber leider meist nicht in Sachen IT-Sicherheit sind.

Nachlässigkeiten der Absicherung, die in isolierten Insel-Umgebungen keine Rolle spielten, werden in einer vernetzten Welt zum Risiko. Beispiele lassen sich im Internet zu Hauf finden.

Ergänzendes zum Thema

Über Stefan Tomanek

Stefan Tomanek

Stefan Tomanek studierte „Angewandte Informatik“ an der Universität Duisburg-Essen und schloss sein Studium als Diplom-Informatiker ab. Neben seiner selbständigen Entwicklungs- und Beratungs-Tätigkeit für zahlreiche Unternehmen war er vier Jahre lang als wissenschaftlicher Mitarbeiter am Gelsenkirchener Institut für Internet-Sicherheit an der Westfälichen Hochschule tätig.

Hier stand er auf zahlreichen Messen, Kongressen und Firmenschulungen als „Live-Hacker“ auf der Bühne, um plastisch und realitätsnah die Risiken und Gefahren der Informationslandschaft zu präsentieren. Hinter den Kulissen führte er zahlreiche Penetrationstests an der Infrastruktur von Unternehmen und Behörden durch, um ebenjene Schwachstellen zu identifizieren und zu schließen – ein Feld, das durch die immer weiter fortschreitende Vernetzung und Prävalenz von Computersystemen stets interessant bleibt.

Heute arbeitet Stefan Tomanek für ein internationales Unternehmen der Internet-Branche am Standort Zürich, erforscht jedoch auch weiterhin auf eigene Faust den Zwiespalt zwischen neuen Möglichkeiten und den damit einhergehenden Gefahren.

Erschreckend reale Proof-of-Concepts

So existieren Steuerungssysteme für Tanklager, die neben Füllstandsmeldungen auch die Möglichkeit bieten, den Tank zu entlüften und andere Wartungsarbeiten vorzunehmen – sofern der Techniker die entsprechenden Kommandos über den seriellen Anschluss erteilt, also physischen Zugriff auf das Gerät hat.

In einer späteren Version wurde natürlich auch diese Anlage „smart“, also netzwerktauglich gemacht. Das Ergebnis war, dass man heute dutzende Tanklager findet, die sich über das Internet steuern lassen – natürlich ohne Authentifizierung und Verschlüsselung, denn diese war im ursprünglichen Konzept nicht nötig.

Ein führender deutscher Hersteller der Gebäude-Automation lieferte Steuergeräte mit Standardpasswörtern und -zugriffsregeln aus, die jedermann mit Netzzugriff nicht nur erlauben, die Lüftung, Heizung und Klimaanlage in zahlreichen Fabriken, Büros, Schulen und Kirchen zu steuern, sondern die Geräte komplett zu übernehmen – und zum Beispiel als Brückenkopf für weitere Exkursionen im Netz zu verwenden.

Selbst die einfachste und wohl bekannteste Kennzeichnungsmethode für Waren ist vor Angriffen nicht gefeit: wer den richtigen Strichcode-Aufkleber mitbringt, kann auch in seinem örtlichen Super- oder Möbelmarkt die Scanner der Kassensysteme umprogrammieren. Zwar leiten diese meist nur stupide die kodierten Zahlen der EAN an die Kasse weiter, mit speziellen Anweisungen, die praktischerweise per Barcode eingelesen werden, können sie aber auch angewiesen werden, umfangreiche Umformungen der Codes vorzunehmen und beliebige Kommandos auszuführen.

Es zeigt sich, dass bei einer Sicherheitsanalyse stets das Gesamtsystem mit allen beteiligten Komponenten betrachtet und dass eingehenden Daten stets misstraut werden muss. Gerade etablierte Verfahren und Anlagen, die nicht von Grund auf mit Hinblick auf Sicherheit konzipiert wurden, stellen in Kombination mit den erweiterten und Kommunikationsbedürfnissen ein potenziell Risiko dar: eine unzureichend abgesicherte Anlage der „Industrie 4.0“ wird so schnell zum unfreiwilligen Steigbügelhalter des „Einbruchs 2.0“.

(ID:44024264)