Beim Stöbern durch Beiträge und in Unterhaltungen zum Thema Industrial Security stolpern wir immer wieder über Aussagen, die skeptisch stimmen. Drei davon wollen wir in diesem Artikel in Relation zur Realität setzen, um Ihren differenzierten Blick auf die Gesamtsituation zu stärken.

Hacker und Cyber-Kriminelle lösen die meisten Störfälle aus!

Negativ-Schlagzeilen und drastisch klingende Angriffe von Extern werden in den Medien und von Sicherheits-Anbietern gerne als Angstmarketing genutzt um Aufmerksamkeit zu erzeugen. Mehrere unabhängige Studien und Berichte der letzten Jahre zeigen allerdings, dass die meisten Störfälle durch fahrlässiges Verhalten und vorsätzliche Angriffe interner Mitarbeiter verursacht werden.

Nichtsdestotrotz helfen ganzheitliche IT-Sicherheitsmaßnahmen auch dabei, diese Vorfälle zu reduzieren. Ein geeignetes Berechtigungskonzept nach dem „Principle of Least Privilege“ verringert das Schadensausmaß (un-)absichtlicher Fehler. Weiterhin können Sensibilisierungsmaßnahmen genutzt werden, um die Auswirkungen von Fehlverhalten aufzuzeigen und das Verständnis für Sicherheitsrichtlinien zu steigern.

Ganz wollen wir den Fokus auf externe Gefahren jedoch nicht einschränken. Immerhin entstehen der deutschen Industrie Schäden in Milliardenhöhe durch Spionage, Sabotage oder Datendiebstahl.

Unsere Empfehlung: Achten Sie in der Betrachung der IT-Sicherheit in Ihrem Unternehmen und vor allem im Automatisierungsbereich nicht allein auf externe Gefahren. Auch durch internes Fehlverhalten entsteht großes Störpotenzial, das es zu adressieren gilt.

Safety Systeme sind gegen Angriffe immun!

Safety Systeme sind für den physischen Schutz von Personal und Umwelt in industriellen Umgebungen zuständig. Neben statischen Safety-Vorrichtungen, z.B. Scheiben oder Abdeckungen, existieren auch dynamische Systeme, die auf gewisse Ereignisse reagieren. Diese sogenannten „Safety Instrumented System“, kurz SIS, überwachen den automatisierten Prozess und lösen bei dessen Verlassen gewisser Grenzbereiche aus, sodass die Maschine oder Anlage in einen sicheren Zustand übergeht. Hierdurch werden zum Beispiel Motoren angehalten, Zulaufventile geschlossen oder Überdruckventile geöffnet.

Diese Systeme sind mit äußerster Sicherheit gestaltet und entwickelt, dennoch bleibt ein gewisses Restrisiko für Fehler und Einfallstore für Schadsoftware. Dass Angriffe auf diese Art an Systemen nicht nur möglich sind, sondern auch aktiv durchgeführt werden, musste ein petro-chemisches Unternehmen aus Saudi-Arabien letztes Jahr feststellen.

Dort waren die SIS unzureichend vom restlichen Automatisierungsnetz abgeschottet. Dadurch konnte die speziell angefertigte Malware TRITON/TRISIS die Systeme befallen und sich langfristig einnisten. Nur durch einen Zufall wurde die Schadsoftware entdeckt und Schlimmeres konnte verhindert werden. Der Befall hätte eine potenzielle Beeinträchtigung der Sicherheitsfunktionen mit gefährlichen Konsequenzen zur Folge haben können.

Die genaue Motivation hinter dieser Attacke ist unklar. Aufgrund der hohen Entwicklungskosten der Schadsoftware und der fehlenden finanziellen Motivation, geht man allerdings von einem staatlich finanzierten Angriff aus.

Unsere Empfehlung: Achten Sie bei vernetzten Safety Systemen besonders auf die physische Netzwerksegmentierung. Diese Systeme sollten in der Regel nicht über das normale Automatisierungsnetz erreichbar sein und wenn doch, nur über strikte Zugriffsregeln.

Unsere Systeme sind Air-Gapped und damit vor Gefahren aus dem Internet verschont!

Im Automatisierungsbereich existiert teils noch das ursprügliche Bild einer strikten Trennung zwischen IT- und Techniknetzen. Dieser Umstand wird häufig als „Air-Gapped“ bezeichnet und rührt aus einer Zeit, in der noch wenige IT-Systeme in Anlagennetzen integriert wurden. Heutzutage erfolgt die Programmierung und Steuerung industrieller Prozesse bereits zu einem erheblichen Teil auf IT-basierten Technologien.

Selbst wenn eine strikte netzwerkseitige Trennung zwischen Anlagen und Office-Netzen bzw. dem Internet besteht, findet dennoch Datenaustausch auf anderen Wegen statt. Denken Sie hier an Wechseldatenträger oder Programmiergeräte von Lieferanten, mit denen die SPS-Programme oder Patches aufgespielt werden. Diese mobilen Datenträger und Systeme sind als Gefahrenquelle nicht zu unterschätzen. Das BSI führt sie seit Jahren als eine der Top-Bedrohungen für industrielle Steuersysteme auf. Auch Fernwartungszugänge, selbst wenn diese durch VPN und Authentifizierung abgesichert sind, müssen als potenzielles Einfallstor in Betracht gezogen werden.

Auf diese Art wurden bereits Angriffe ausgeführt oder Schadsoftware in Bereiche eingeschleust, die eigentlich keine Verbindung ins Internet haben. Das prominenteste Beispiel ist noch immer STUXNET, bei dem im Jahr 2011 eine Schadsoftware in die iranische Urananreicherungsanlage in Natanz eingeschleust wurde.

Das Argument der „Air-Gapped“-Systeme wird zukünftig durch die zunehmende Vernetzung und Digitalisierung der Industrie auch noch weiter an Bedeutung verlieren.

Unsere Empfehlung: Prüfen Sie, welche externen Schnittstellen sich tatsächlich in Ihren Anlagen befinden. Denken Sie dabei vor allem auch an USB-Sticks, Notebooks von Lieferanten oder Fernwartungszugänge.

Fazit

Auf den ersten Blick erscheinen viele Aussagen zur industriellen IT-Sicherheit als schlüssig. Lassen Sie davon allerdings nicht vorschnell Ihr Meinungsbild beeinflussen. Überprüfen Sie Aussagen, die Ihnen komisch erscheinen oder von denen Sie glauben, sie wurden nur aus Marketing oder Verkaufsförderung gemacht. Am besten sie lassen sich solche Punkte nochmals mit Quellen verifizieren.

Lesen Sie auch unseren vorigen Beitrag mit drei weiteren Mythen über Industrial Security. Falls Ihnen einmal eine „komische“ Aussage über den Weg läuft können Sie uns gerne über das Kontaktformular nach unserer Meinung fragen. Wir helfen Ihnen bei der Klärung!