Sicherungspunkte

An welchen Stellen sollten Unternehmen Sicherheitsmaßnahmen ergreifen, um diese Gefahren abzuwehren? In der Abschottung nach außen sind die klassischen IT-Security-Systeme erneut zu überprüfen und bei Bedarf zu aktualisieren. Zwar ändern sich die möglichen Angriffspunkte nicht, aber die Auswirkungen einer erfolgreichen Attacke sind durch Industrie 4.0 deutlich schwerer. Daher müssen sämtliche Sicherheitslücken geschlossen werden.

Unterschiedliche Ausgangslage für IT-Security

	Business-IT	Industrie-IT
Virenschutz	weit verbreitet	kompliziert, oft unmöglich
Lebensdauer	3-5 Jahre	5-20 Jahre
Outsourcing	weit verbreitet	selten
Patch-Management	oft, täglich	selten, benötigt Freigabe vom Anlagenhersteller
Änderungen	häufig	selten
Zeitabhängigkeit	Verzögerungen akzeptiert	kritisch
Verfügbarkeit	Ausfälle akzeptiert	24x7
Bewusstsein	gut	schlecht
Sicherheitstests	weit verbreitet	selten und problematisch
Physische Sicherheit	abgesichert, bemannt	großflächig, unbemannt
Quelle: Computacenter

Ein deutlich größeres Problem stellt die Kopplung von Office-IT und Produktionsnetz dar. So werden etwa SAP-Datenbanken zur automatischen Nachbestellung von Materialien oder zum Auftragseingang direkt mit den Produktions- und Steuerungsdaten verbunden. Zudem können beispielsweise Techniker über Fernwartungssysteme auf das Produktionsnetz zugreifen. Entsprechend müssen Unternehmen für den Zugang zu Produktivsystemen ein umfassendes Berechtigungs- und IdentifikationsManagement einführen sowie sämtliche Schnittstellen absichern.

Eine ebenfalls große Herausforderung stellt die Sicherung der Visualisierungs- und Steuerungsebene dar. Der Einsatz von Security-Lösungen ist an dieser Stelle in der Regel von der Freigabe des Herstellers der Produktionsmaschine abhängig. Diese liegt aber nur selten vor. Zudem wissen viele Unternehmen oft gar nicht genau, welche Programme auf den Produktionsmaschinen laufen. Existieren Sicherheitslösungen, werden sie teilweise nicht eingesetzt, weil sie durch CPU- und RAM-Last die Produktionsgeschwindigkeit senken.

Die Feldebene der Maschinen stellt zwar auch ein Sicherheitsrisiko dar, wird jedoch sowohl von den Angreifern als auch von den Unternehmen vernachlässigt. Der Aufwand für Angriffe ist noch zu hoch, und Verteidigungsstrategien sind noch nicht ausgearbeitet. Trotzdem sollten Unternehmen die Feldebene als Handlungsbereich in ihre Security-Roadmap besonders dann aufnehmen, wenn sie geografisch weiträumig verteilt sind und der physische Zugang schwer zu verteidigen ist.

Die ersten Schritte

Wie sollten Unternehmen konkret vorgehen? Im ersten Schritt müssen die Verantwortlichkeiten festgelegt werden. Während diese im Office-Umfeld in der Regel geklärt sind, gibt es in der Produktion meist keinen Zuständigen für die Sicherheit. Idealerweise existiert nicht nur pro Werk ein Security-Beauftragter, sondern auch ein zentraler Chief Security Officer (CSO), der für die Niederlassungen und Werke weisungsbefugt ist. Die organisatorischen Prozesse hat der Vorstand freizugeben, bevor Entscheidungen über technische Lösungen fallen.

In den meisten Chefetagen herrscht hier noch viel Aufklärungsbedarf. Oft muss erst ein Security-Vorfall geschehen, damit sich das nötige Gefahrenbewusstsein entwickelt. Gerade dafür wäre ein Erkennungssystem für Angriffe nötig, das jedoch oft nicht existiert. Zudem verschweigen Unternehmen häufig Sicherheitspannen, um einen Imageschaden zu vermeiden.

Im Falle komplexer Zulieferketten und vieler Partner reicht der Schutz des eigenen Unternehmens nicht aus. Hier sind auch die Externen über umfassende Sicherheitsmaßnahmen und Richtlinien in das Gesamtkonzept einzubinden. Sonst besteht die Gefahr, dass die Produktion über die Zulieferer kompromittiert wird, wie das in der Office-IT im Fall von RSA Security und Lockheed Martin schon geschehen ist.

Sind die organisatorischen Fragen geklärt, sollten Unternehmen in einem Referenzprojekt in einem Werk eine umfangreiche Sicherheitslösung aufbauen, die sich andere Niederlassungen praxisnah ansehen und vom Werksleiter erklären lassen können. Dann wird Sicherheit in der Industrie 4.0 von einem theoretischen Mangel zu einer praktischen Lösung.

Fazit

In der Office-IT hat es mehr als zehn Jahre gedauert, bis Unternehmen ein vernünftiges Sicherheitsniveau erreicht haben. Eine so lange Wartezeit können sie sich für ihre Produktionsumgebungen nicht leisten. Daher gilt es, auch in der eigenen Fertigung Information Security besonders ernst zu nehmen.

Unternehmen können zwar von den Erfahrungen klassischer IT-Lösungen profitieren, doch der Aufwand für Anpassungen und organisatorische Prozesse ist keinesfalls zu unterschätzen. Deshalb sollten die Unternehmen bereits jetzt damit anfangen. Sicherheit darf nicht als Hindernis gesehen werden, sondern als Erfolgsgarant - denn ohne sie wird Industrie 4.0 langfristig nicht bestehen können. (ba)

Dror-John Röcher ist Lead Consultant Secure Information bei der Computacenter AG & Co. oHG.